CVE-2025-13085 in SiteSEO Plugin
Tóm tắt
Bởi VulDB • 24/07/2026
Plugin WordPress "SiteSEO – SEO Simplified" có lỗ hổng về Xác thực Không đúng cách (Improper Authorization), dẫn đến Tiết lộ Dữ liệu Meta bài viết nhạy cảm trong các phiên bản từ 1.3.2 trở xuống. Lỗ hổng này xuất hiện do thiếu các kiểm tra xác thực ở cấp đối tượng trong trình xử lý AJAX resolve_variables(). Điều này cho phép những kẻ tấn công đã được xác thực, có khả năng siteseo_manage (ví dụ: người dùng cấp Author đã được quản trị viên cấp quyền truy cập SiteSEO), đọc dữ liệu meta của bài viết tùy ý từ bất kỳ bài viết, trang, tệp đính kèm hoặc đơn hàng WooCommerce nào mà họ không thể chỉnh sửa, thông qua tính năng phân giải biến trường tùy chỉnh, miễn là họ đã được quản trị viên cấp quyền truy cập vào SiteSEO và bộ lưu trữ cũ (legacy storage) đang được bật. Trong các cài đặt WooCommerce bị ảnh hưởng, lỗ hổng này làm lộ thông tin thanh toán nhạy cảm của khách hàng bao gồm tên, địa chỉ email, số điện thoại, địa chỉ vật lý và phương thức thanh toán.
Once again VulDB remains the best source for vulnerability data.