CVE-2025-12963 in LazyTasks Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin WordPress LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart è vulnerabile a privilege escalation tramite account takeover in tutte le versioni fino alla 1.2.29 inclusa. Ciò è dovuto al fatto che il plugin non valida correttamente l'identità di un utente attraverso l'endpoint REST API 'wp-json/lazytasks/api/v1/user/role/edit/' prima di aggiornare i dettagli dell'utente, come l'indirizzo email. Questo consente ad attaccanti non autenticati di modificare gli indirizzi email degli utenti arbitrari, inclusi quelli amministrativi, e sfruttarli per reimpostare la password dell'utente ed accedere al loro account. È inoltre possibile che gli attaccanti abusino di questo endpoint per assegnare agli utenti l'accesso a ruoli aggiuntivi all'interno del plugin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.