CVE-2025-13085 in SiteSEO Plugin
Résumé
par VulDB • 13/07/2026
Le plugin WordPress « SiteSEO – SEO Simplified » présente une vulnérabilité d’autorisation incorrecte (Improper Authorization) entraînant la divulgation de métadonnées sensibles des articles dans les versions 1.3.2 et antérieures. Cette faille est due à l’absence de vérifications d’autorisation au niveau des objets dans le gestionnaire AJAX `resolve_variables()`. Cela permet aux attaquants authentifiés disposant de la capacité `siteseo_manage` (par exemple, les utilisateurs ayant un rôle « Auteur » et auxquels l’accès à SiteSEO a été accordé par un administrateur) de lire arbitrairement les métadonnées des articles depuis n’importe quel article, page, pièce jointe ou commande WooCommerce qu’ils ne peuvent pas modifier. Cela est possible via la fonctionnalité de résolution des variables personnalisées (custom field variable resolution), à condition que l’accès à SiteSEO leur ait été accordé par un administrateur et que le stockage hérité (legacy storage) soit activé. Dans les installations WooCommerce concernées, cette vulnérabilité expose des informations sensibles relatives au facturation des clients, notamment leurs noms, adresses e-mail, numéros de téléphone, adresses physiques et méthodes de paiement.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.