WordPress Social Feed Gallery插件未授权信息泄露漏洞分析

概述

CVE-2025-10637是一个影响WordPress Social Feed Gallery插件的中等严重性漏洞，CVSS评分为5.3。该漏洞存在于4.9.2及以下版本中，由于插件未能正确验证用户权限，导致未认证攻击者能够访问敏感信息。

漏洞详情

漏洞描述

Social Feed Gallery插件存在信息泄露漏洞，原因是插件未能正确验证用户执行操作的授权状态。这使得未认证的攻击者能够从网站所有者连接的任何Instagram账户中窃取个人资料和媒体数据。

技术细节

• 漏洞类型: 信息泄露
• 根本原因: 缺少授权验证（CWE-862）
• 影响范围: Social Feed Gallery插件<=4.9.2版本
• 攻击向量: 网络攻击
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 不需要

时间线

• 发布日期: 2025年10月25日
• 最后修改: 2025年10月25日
• 远程利用: 是
• 信息来源: security@wordfence.com

影响评估

CVSS评分详情

• 基础评分: 5.3（中等）
• 攻击向量: 网络
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 不需要
• 影响范围: 未改变
• 机密性影响: 低
• 完整性影响: 无
• 可用性影响: 无

受影响产品

目前尚未记录具体的受影响产品版本信息。

解决方案

修复措施

1. 更新插件: 将Social Feed Gallery插件更新到已修复授权缺陷的版本
2. 验证授权检查: 确认插件的授权验证机制正常工作
3. 限制访问: 限制对连接账户的访问权限
4. 监控活动: 监控是否存在未经授权的数据访问行为

参考资源

相关链接

• https://plugins.trac.wordpress.org/browser/insta-gallery/tags/4.9.2/lib/api/rest/endpoints/frontend/class-user-profile.php#L19
• https://plugins.trac.wordpress.org/changeset/3381423/insta-gallery/trunk/lib/api/rest/endpoints/frontend/class-user-profile.php
• https://wordpress.org/plugins/insta-gallery/
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ae0dd6b0-9028-456e-9843-d45754c01c53?source=cve

相关分类

• CWE: CWE-862 Missing Authorization
• CAPEC: CAPEC-665 Exploitation of Thunderbolt Protection Flaws

漏洞历史记录

变更记录

日期	操作类型	变更内容
2025年10月25日	新增漏洞描述	添加漏洞详细信息
2025年10月25日	新增CVSS评分	添加CVSS 3.1评分信息
2025年10月25日	新增CWE分类	关联CWE-862弱点类型
2025年10月25日	新增参考链接	添加相关技术参考链接
更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）

公众号二维码

公众号二维码