{"id":3748,"date":"2025-10-23T07:43:24","date_gmt":"2025-10-23T07:43:24","guid":{"rendered":"https:\/\/developress.io\/?p=3748"},"modified":"2025-12-29T16:25:51","modified_gmt":"2025-12-29T16:25:51","slug":"wordpress-plugin-vulnerabilities-october-2025-pl","status":"publish","type":"post","link":"https:\/\/developress.io\/pl\/wordpress-plugin-vulnerabilities-october-2025-pl\/","title":{"rendered":"Luki bezpiecze\u0144stwa WordPress – raport pa\u017adziernik 2025"},"content":{"rendered":"\n

To miesi\u0119czne podsumowanie przedstawia najwa\u017cniejsze ujawnione problemy z bezpiecze\u0144stwem WordPressa w pa\u017adzierniku 2025. Obejmuje kluczowe CVE dotycz\u0105ce WordPress core, wtyczek i motyw\u00f3w, wraz z informacjami o poziomie zagro\u017cenia, dotkni\u0119tych wersjach, prawdopodobie\u0144stwie wykorzystania oraz zaleceniami dotycz\u0105cymi \u0142atek. Znajdziesz tu tak\u017ce tabel\u0119 szybkiej triage, workflow aktualizacji\/wycofania\/test\u00f3w oraz 24-godzinny checklist naprawczy dla nietechnicznych w\u0142a\u015bcicieli stron.<\/p>\n\n\n\n

Je\u015bli chcesz uzyska\u0107 eksperck\u0105 pomoc w zakresie aktualizacji, monitoringu i wzmocnienia bezpiecze\u0144stwa, zobacz nasz\u0105 us\u0142ug\u0119: WordPress Maintenance & Support<\/a>.<\/p>\n\n\n\n

1) Szybki przegl\u0105d<\/h2>\n\n\n\n
Przedzia\u0142 czasowy dzia\u0142ania<\/th>Zalecane dzia\u0142anie<\/th><\/tr><\/thead>
Natychmiast<\/td>Zaktualizuj WordPress core do najnowszej wersji i zastosuj dost\u0119pne poprawki bezpiecze\u0144stwa.<\/td><\/tr>
W ci\u0105gu 24 godzin<\/td>Przejrzyj poni\u017csze elementy o wysokim wp\u0142ywie; za\u0142atataj lub tymczasowo dezaktywuj\/usu\u0144 podatne komponenty.<\/td><\/tr>
W ci\u0105gu 7 dni<\/td>Wykonaj pe\u0142n\u0105 inwentaryzacj\u0119 wtyczek\/motyw\u00f3w, usu\u0144 porzucone, przejrzyj role administrator\u00f3w, w\u0142\u0105cz 2FA i przeanalizuj ostatnie logi.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

2) Kluczowe CVE w pa\u017adzierniku 2025<\/h2>\n\n\n\n

CVE-2025-5947 – Omini\u0119cie uwierzytelniania w \u201cService Finder Bookings\u201d (cz\u0119\u015b\u0107 motywu Service Finder)<\/h3>\n\n\n\n

Na czym polega:<\/strong> Krytyczne omini\u0119cie uwierzytelniania umo\u017cliwiaj\u0105ce nieautoryzowanemu atakuj\u0105cemu zalogowanie si\u0119 jako dowolny u\u017cytkownik (w tym admin) z powodu niew\u0142a\u015bciwej walidacji ciasteczka kontrolowanego przez u\u017cytkownika w service_finder_switch_back()<\/code>. NVD<\/a> \u00b7 Wordfence advisory<\/a><\/p>\n\n\n\n

Dotkni\u0119te wersje:<\/strong> \u2264 6.0 (naprawione w 6.1 dnia 17 lipca 2025). Szczeg\u00f3\u0142y<\/a><\/p>\n\n\n\n

Poziom zagro\u017cenia \/ prawdopodobie\u0144stwo:<\/strong> CVSS 3.1: 9.8 (Krytyczne); aktywne wykorzystanie obserwowane w pa\u017adzierniku. NVD<\/a> \u00b7 The Hacker News<\/a><\/p>\n\n\n\n

Co zrobi\u0107:<\/strong> Zaktualizuj do wersji 6.1+ natychmiast lub wymie\u0144 motyw. Przejrzyj logi logowa\u0144 administrator\u00f3w pod k\u0105tem nietypowych sesji i poszukaj podejrzanego u\u017cycia parametr\u00f3w \u201cswitch_back\u201d.<\/p>\n\n\n\n

CVE-2025-10313 – Brak autoryzacji w wtyczce \u201cFind And Replace Content\u201d<\/h3>\n\n\n\n

Na czym polega:<\/strong> Brak sprawdzania uprawnie\u0144 w far_admin_ajax_fun()<\/code> umo\u017cliwia nieautoryzowany trwa\u0142y XSS oraz dowoln\u0105 podmian\u0119 tre\u015bci. NVD<\/a> \u00b7 Wordfence Intel<\/a><\/p>\n\n\n\n

Dotkni\u0119te wersje:<\/strong> \u2264 1.1 (wtyczka tymczasowo zamkni\u0119ta 14 pa\u017adziernika 2025). Szczeg\u00f3\u0142y<\/a><\/p>\n\n\n\n

Poziom zagro\u017cenia \/ prawdopodobie\u0144stwo:<\/strong> CVSS 3.1: 7.2 (Wysokie); brak potwierdzonych masowych atak\u00f3w na moment publikacji, ale ryzyko jest istotne. NVD<\/a><\/p>\n\n\n\n

Co zrobi\u0107:<\/strong> Dezaktywuj i usu\u0144 wtyczk\u0119. Na wszelki wypadek zresetuj has\u0142a administrator\u00f3w i przeskanuj stron\u0119 pod k\u0105tem wstrzykni\u0119tych skrypt\u00f3w.<\/p>\n\n\n\n

CVE-2025-10743 – Nieautoryzowany SQL Injection w wtyczce \u201cOutdoor\u201d<\/h3>\n\n\n\n

Na czym polega:<\/strong> Nieautoryzowany SQL injection przez akcj\u0119 edit<\/em> (niewystarczaj\u0105ce oczyszczanie i przygotowanie zapyta\u0144), umo\u017cliwiaj\u0105cy wyci\u0105ganie danych z bazy. NVD<\/a> \u00b7 Wordfence Intel<\/a><\/p>\n\n\n\n

Dotkni\u0119te wersje:<\/strong> \u2264 1.3.2 (wtyczka dezaktywowana do czasu przegl\u0105du 14 pa\u017adziernika 2025). Szczeg\u00f3\u0142y<\/a><\/p>\n\n\n\n

Poziom zagro\u017cenia \/ prawdopodobie\u0144stwo:<\/strong> CVSS 3.1: 7.5 (Wysokie). NVD<\/a><\/p>\n\n\n\n

Co zrobi\u0107:<\/strong> Usu\u0144 wtyczk\u0119 i zast\u0105p j\u0105 wspieran\u0105 alternatyw\u0105; monitoruj logi bazy danych i logi dost\u0119pu pod k\u0105tem anomalii.<\/p>\n\n\n\n

3) WordPress Core w pa\u017adzierniku 2025<\/h2>\n\n\n\n

WordPress 6.8.3<\/strong> zosta\u0142 wydany 30 wrze\u015bnia 2025<\/strong> jako wydanie bezpiecze\u0144stwa<\/em> z dwiema poprawkami. Zaktualizuj natychmiast, je\u015bli jeszcze tego nie zrobi\u0142e\u015b. Oficjalna notka wydania<\/a><\/p>\n\n\n\n

Liczba ujawnianych podatno\u015bci w ca\u0142ym ekosystemie pozostaje wysoka. Przyk\u0142adowo, tygodniowy raport z 1 pa\u017adziernika wykaza\u0142 476 nowych podatno\u015bci<\/strong> (457 wtyczek, 17 motyw\u00f3w). Raport SolidWP<\/a><\/p>\n\n\n\n

4) Tabela triage (najpierw te elementy)<\/h2>\n\n\n\n
CVE<\/th>Komponent<\/th>Dotkni\u0119te wersje<\/th>\u0141atka dost\u0119pna?<\/th>Prawdopodobie\u0144stwo ataku \/ poziom zagro\u017cenia<\/th>Dzia\u0142anie<\/th><\/tr><\/thead>
CVE-2025-5947<\/td>Service Finder Bookings \/ motyw Service Finder<\/td>\u2264 6.0<\/td>Tak (6.1)<\/td>Aktywne ataki; CVSS 9.8 (Krytyczne)<\/td>Aktualizuj do 6.1+ lub wymie\u0144; przejrzyj logi<\/td><\/tr>
CVE-2025-10313<\/td>Find And Replace Content (wtyczka)<\/td>\u2264 1.1<\/td>Nie (tymczasowo zamkni\u0119ta)<\/td>Wysokie; trwa\u0142y XSS \/ podmiana tre\u015bci<\/td>Usu\u0144; zmie\u0144 dane dost\u0119powe admina<\/td><\/tr>
CVE-2025-10743<\/td>Outdoor (wtyczka)<\/td>\u2264 1.3.2<\/td>Nie (dezaktywowana)<\/td>Wysokie; nieautoryzowany SQLi<\/td>Usu\u0144; monitoruj logi DB\/dost\u0119pu<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Wskaz\u00f3wka:<\/em> Je\u015bli \u0142atka nie jest dost\u0119pna, potraktuj komponent jako “usu\u0144\/zamie\u0144”, aby zmniejszy\u0107 powierzchni\u0119 ataku.<\/p>\n\n\n\n

5) Workflow: Aktualizacja \u2192 Wycofanie \u2192 Testy<\/h2>\n\n\n\n