CVE-2025-12963: lazycoders LazyTasks插件中的CWE-862缺失授权漏洞

严重性：严重 类型：漏洞

CVE-2025-12963

WordPress的LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart插件在1.2.29及之前的所有版本中存在通过账户接管进行权限提升的漏洞。这是由于插件在通过‘wp-json/lazytasks/api/v1/user/role/edit/’ REST API端点更新用户详细信息（如邮箱地址）之前，未正确验证用户身份。这使得未经身份验证的攻击者能够更改任意用户（包括管理员）的邮箱地址，并利用此漏洞重置用户密码、获取其账户访问权限。攻击者还可能滥用此端点，为用户授予插件内的额外角色。

AI分析

技术总结

CVE-2025-12963是在WordPress的LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart插件中发现的一个关键安全漏洞，影响1.2.29及之前的所有版本。根本原因是该插件的REST API端点‘wp-json/lazytasks/api/v1/user/role/edit/’缺少授权检查（CWE-862）。该端点允许修改用户详细信息（如邮箱地址），而无需验证请求者的身份或权限。因此，未经身份验证的攻击者可以任意更改任何用户（包括管理员）的邮箱地址。通过更改管理员的邮箱，攻击者可以触发密码重置流程，从而获得完整的账户控制权。此外，攻击者可以滥用此端点，通过为用户分配额外角色来提升权限，进一步危害系统。该漏洞可通过网络远程利用，无需任何身份验证或用户交互，其CVSS 3.1评分为9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。这意味着攻击可以轻松执行，并可能导致受影响的WordPress站点的机密性、完整性和可用性完全受损。截至发布日期（2025年12月12日），尚无官方补丁或修复链接，也未在野外报告已知的漏洞利用。然而，其严重性和易利用性使其成为需要立即关注的关键威胁。

潜在影响

对于欧洲组织而言，此漏洞对基于WordPress的项目管理环境的安全性构成严重风险。成功利用可导致未经授权的管理员访问，使攻击者能够操纵敏感项目数据、中断工作流程，并可能部署进一步的恶意活动，如勒索软件或数据窃取。在金融、医疗保健和政府等受严格数据保护法规约束的行业，组织面临更高的合规违规和声誉损害风险。无需身份验证即可提升权限的能力扩大了攻击面，降低了攻击者的门槛，包括针对欧洲实体的机会主义威胁行为者和高级持续性威胁。管理员账户的泄露还可能促进企业网络内的横向移动，从而放大潜在损害。鉴于WordPress和项目管理插件在欧洲的广泛使用，该漏洞可能影响从中小型企业到大型企业的广泛组织。

缓解建议

1. 立即缓解措施包括通过Web应用防火墙（WAF）或服务器级规则禁用或限制对易受攻击的REST API端点‘wp-json/lazytasks/api/v1/user/role/edit/’的访问，以防止未经授权的请求。
2. 监控WordPress日志和REST API访问模式，查找与用户角色或邮箱更改相关的可疑活动。
3. 在所有管理员账户上强制执行多因素身份认证（MFA），以降低即使凭据泄露账户被接管的风险。
4. 定期审计WordPress环境内的用户角色和权限，以检测未经授权的权限提升。
5. 维护WordPress站点和数据库的最新备份，以便在遭到破坏时能够恢复。
6. 关注lazycoders的官方渠道以获取安全更新，并在可用时及时应用补丁。
7. 考虑将托管该插件的WordPress实例与关键内部网络隔离，以限制横向移动。
8. 教育管理员识别可能利用已泄露账户的网络钓鱼企图。这些措施超越了通用建议，侧重于针对此特定漏洞的即时端点访问控制、监控和分层防御。

受影响国家

德国、法国、英国、荷兰、意大利、西班牙、波兰、瑞典

来源：CVE Database V5 发布日期：2025年12月12日，星期五

CVE-2025-12963: CWE-862 Missing Authorization in lazycoders LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart

▲0 ▼ Star Critical Vulnerability CVE-2025-12963 cve cve-2025-12963 cwe-862 发布日期： 2025年12月12日，星期五 (2025年12月12日, 03:20:55 UTC) 来源： CVE Database V5 供应商/项目： lazycoders 产品： LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart

描述 WordPress的LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart插件在1.2.29及之前的所有版本中存在通过账户接管进行权限提升的漏洞。这是由于插件在通过‘wp-json/lazytasks/api/v1/user/role/edit/’ REST API端点更新用户详细信息（如邮箱地址）之前，未正确验证用户身份。这使得未经身份验证的攻击者能够更改任意用户（包括管理员）的邮箱地址，并利用此漏洞重置用户密码、获取其账户访问权限。攻击者还可能滥用此端点，为用户授予插件内的额外角色。

AI驱动分析

AI 最后更新： 2025年12月12日，04:01:46 UTC

技术分析

CVE-2025-12963是在WordPress的LazyTasks – Project & Task Management with Collaboration, Kanban and Gantt Chart插件中发现的一个关键安全漏洞，影响1.2.29及之前的所有版本。根本原因是该插件的REST API端点‘wp-json/lazytasks/api/v1/user/role/edit/’缺少授权检查（CWE-862）。该端点允许修改用户详细信息（如邮箱地址），而无需验证请求者的身份或权限。因此，未经身份验证的攻击者可以任意更改任何用户（包括管理员）的邮箱地址。通过更改管理员的邮箱，攻击者可以触发密码重置流程，从而获得完整的账户控制权。此外，攻击者可以滥用此端点，通过为用户分配额外角色来提升权限，进一步危害系统。该漏洞可通过网络远程利用，无需任何身份验证或用户交互，其CVSS 3.1评分为9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。这意味着攻击可以轻松执行，并可能导致受影响的WordPress站点的机密性、完整性和可用性完全受损。截至发布日期（2025年12月12日），尚无官方补丁或修复链接，也未在野外报告已知的漏洞利用。然而，其严重性和易利用性使其成为需要立即关注的关键威胁。

潜在影响

对于欧洲组织而言，此漏洞对基于WordPress的项目管理环境的安全性构成严重风险。成功利用可导致未经授权的管理员访问，使攻击者能够操纵敏感项目数据、中断工作流程，并可能部署进一步的恶意活动，如勒索软件或数据窃取。在金融、医疗保健和政府等受严格数据保护法规约束的行业，组织面临更高的合规违规和声誉损害风险。无需身份验证即可提升权限的能力扩大了攻击面，降低了攻击者的门槛，包括针对欧洲实体的机会主义威胁行为者和高级持续性威胁。管理员账户的泄露还可能促进企业网络内的横向移动，从而放大潜在损害。鉴于WordPress和项目管理插件在欧洲的广泛使用，该漏洞可能影响从中小型企业到大型企业的广泛组织。

缓解建议

1. 立即缓解措施包括通过Web应用防火墙（WAF）或服务器级规则禁用或限制对易受攻击的REST API端点‘wp-json/lazytasks/api/v1/user/role/edit/’的访问，以防止未经授权的请求。
2. 监控WordPress日志和REST API访问模式，查找与用户角色或邮箱更改相关的可疑活动。
3. 在所有管理员账户上强制执行多因素身份认证（MFA），以降低即使凭据泄露账户被接管的风险。
4. 定期审计WordPress环境内的用户角色和权限，以检测未经授权的权限提升。
5. 维护WordPress站点和数据库的最新备份，以便在遭到破坏时能够恢复。
6. 关注lazycoders的官方渠道以获取安全更新，并在可用时及时应用补丁。
7. 考虑将托管该插件的WordPress实例与关键内部网络隔离，以限制横向移动。
8. 教育管理员识别可能利用已泄露账户的网络钓鱼企图。这些措施超越了通用建议，侧重于针对此特定漏洞的即时端点访问控制、监控和分层防御。

受影响国家

德国、法国、英国、荷兰、意大利、西班牙、波兰、瑞典

需要更详细的分析？ 获取专业版 专业版功能 要访问高级分析和更高的速率限制，请联系 root@offseq.com。

技术详情

数据版本 5.2 分配者简称 Wordfence 日期预留 2025-11-10T17:09:20.924Z Cvss版本 3.1 状态 PUBLISHED 威胁ID： 693b9182650da22753edbaef 添加到数据库： 2025年12月12日，凌晨3:52:34 最后丰富： 2025年12月12日，凌晨4:01:46 最后更新： 2025年12月12日，凌晨5:56:42 浏览次数： 5

社区评论

0 条评论 众包缓解策略，共享情报背景，并对最有帮助的回应进行投票。登录以发表您的意见，帮助防御者保持领先。

排序方式 热门 最新 最早 撰写评论 社区提示 ▼ 正在加载社区见解… 想要贡献缓解步骤或威胁情报背景？ 登录或创建账户以加入社区讨论。

相关威胁

CVE-2025-67724: CWE-79: Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) in tornadoweb tornado 中等 漏洞 2025年12月12日，星期五 CVE-2025-67725: CWE-400: Uncontrolled Resource Consumption in tornadoweb tornado 高 漏洞 2025年12月12日，星期五 CVE-2025-67508: CWE-77: Improper Neutralization of Special Elements used in a Command (‘Command Injection’) in gardener gardenctl-v2 高 漏洞 2025年12月12日，星期五 CVE-2025-14467: CWE-79 Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) in wpjobportal WP Job Portal – AI-Powered Recruitment System for Company or Job Board website 中等 漏洞 2025年12月12日，星期五 CVE-2025-14393: CWE-79 Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) in awanhrp Wpik WordPress Basic Ajax Form 中等 漏洞 2025年12月12日，星期五

操作

更新AI分析 PRO AI分析的更新需要专业版控制台访问权限。在 控制台 → 账单 中升级。 请登录到控制台以使用AI分析功能。

分享 外部链接 NVD 数据库 MITRE CVE 参考 1 参考 2 在 Google 上搜索 需要增强功能？ 联系 root@offseq.com 获取专业版访问权限，享受改进的分析和更高的速率限制。

最新威胁

为需要了解未来重要动态的安全团队提供实时情报。

SEQ SIA 注册号 40203410806 Lastadijas 12 k-3, Riga, Latvia, LV-1050 价格包含增值税 (21%) 支持 radar@offseq.com +371 2256 5353 平台 仪表板 威胁 威胁地图 订阅源 API 文档 账户控制台 支持 OffSeq.com 职业 服务 联系 周一至周五，09:00–18:00 (EET) 3个工作日内回复 政策与支付 § 条款与条件 ↗ 交付条款 ↺ 退货与退款 🔒 隐私政策 接受的付款方式 卡支付由EveryPay安全处理。 Twitter Mastodon GitHub Bluesky LinkedIn 键盘快捷键 导航 转到首页 g h 转到威胁 g t 转到地图 g m 转到订阅源 g f 转到控制台 g c 搜索与筛选器 聚焦搜索 / 切换筛选器 f 选择“所有时间”筛选器 a 清除所有筛选器 c l 刷新数据 r UI 控制 切换深色/浅色主题 t 显示键盘快捷键 ? 清除焦点/关闭模态窗口 Escape 辅助功能 导航到下一项 j 导航到上一项 k 激活选定项 Enter 提示： 随时按 ? 以切换此帮助面板。多键快捷键如 g h 应按顺序按下。