Уязвимость Broken Access Control в WordPress-плагине BuddyForms (CVE-2025-62973)
В WordPress-плагине BuddyForms обнаружена уязвимость Broken Access Control (CVE-2025-62973), связанная с отсутствием проверки авторизации. Проблема затрагивает версии плагина до 2.10.2 включительно и получила оценку CVSS 5.3 (MEDIUM). Уязвимость позволяет получить доступ к функциям, не ограниченным должным образом списками контроля доступа.
Подробности
Согласно записи в базе CVE Project, уязвимость относится к категории Missing Authorization — отсутствие проверки авторизации. Это означает, что часть функциональности плагина доступна без должной проверки прав пользователя, что позволяет обращаться к возможностям, которые должны быть ограничены списками контроля доступа (ACL). Затронутый продукт — BuddyForms от Themekraft. Уязвимость присутствует во всех версиях плагина вплоть до 2.10.2 включительно (формулировка «from n/a through 2.10.2»). Информации о конкретных версиях, в которых проблема была устранена, в записи CVE не приводится. Уязвимости присвоена базовая оценка CVSS 5.3, что соответствует среднему уровню критичности (MEDIUM). Такой уровень предполагает, что эксплуатация возможна, но, как правило, требует определённых условий и не приводит к полной компрометации системы. Тем не менее, последствия для сайтов, где установлен уязвимый плагин, могут быть ощутимыми — вплоть до несанкционированного выполнения действий в рамках доступной функциональности. Следует отметить, что уязвимости категории Broken Access Control в плагинах WordPress встречаются регулярно и являются одной из самых распространённых причин инцидентов, связанных с безопасностью сайтов на этой CMS. Отсутствие проверки прав нередко позволяет злоумышленникам обходить ограничения и выполнять операции, доступные только привилегированным пользователям.Что делать
Основная рекомендация — проверить наличие плагина BuddyForms на своих WordPress-сайтах и обновить его до актуальной версии, если производитель выпустил исправление. Если официальный патч ещё не доступен, целесообразно рассмотреть временные митигации: - ограничить доступ к административной части сайта по IP-адресам доверенных сетей; - использовать WAF (веб-application firewall) с правилами, блокирующими подозрительные запросы к эндпоинтам плагина; - временно деактивировать плагин, если его функциональность не является критичной для работы сайта; - усилить мониторинг журналов доступа на предмет аномальной активности, связанной с формами и административными запросами. Также рекомендуется регулярно отслеживать обновления от разработчика Themekraft и подписываться на уведомления об уязвимостях, чтобы оперативно реагировать на подобные инциденты. Итог: CVE-2025-62973 — уязвимость среднего уровня критичности в плагине BuddyForms, позволяющая обходить ограничения контроля доступа. Владельцам сайтов на WordPress стоит проверить наличие плагина и как можно скорее применить доступные меры защиты или обновление.Источник: CVE Project (cvelistV5)