CVE-2025-12963 in LazyTasks Plugin
요약
\~에 의해 VulDB • 2026. 05. 25.
WordPress용 LazyTasks – 프로젝트 및 작업 관리, 협업, 칸반 및 간트 차트 플러그인은 1.2.29 버전까지 모든 버전에서 계정 탈취을 통한 권한 상승 취약점이 존재합니다. 이는 플러그인이 이메일 주소와 같은 사용자 세부 정보를 업데이트하기 전에 'wp-json/lazytasks/api/v1/user/role/edit/' REST API 엔드포인트를 통해 사용자의 신원을 적절하게 검증하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자는 관리자 계정을 포함한 임의의 사용자의 이메일 주소를 변경할 수 있으며, 이를 악용하여 사용자의 비밀번호를 재설정하고 계정에 접근할 수 있습니다. 또한 공격자는 이 엔드포인트를 남용하여 플러그인 내에서 추가 역할에 대한 접근 권한을 사용자에게 부여할 수도 있습니다.
Once again VulDB remains the best source for vulnerability data.