- شناسه CVE-2025-10305 :CVE
- CWE-862 :CWE
- yes :Advisory
- منتشر شده: سپتامبر 20, 2025
- به روز شده: سپتامبر 20, 2025
- امتیاز: 5.3
- نوع حمله: Unknown
- اثر گذاری: Unknown
- حوزه: سیستم مدیریت محتوا
- برند: endisha
- محصول: Secure Passkeys
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری در پلاگین Secure Passkeys برای وردپرس نسخه‌های 1.2.1 و پایین‌تر، ناشی از عدم بررسی مجوز (capability check) در توابع delete_passkey() و passkeys_list() است که امکان دسترسی غیرمجاز را برای کاربران احراز هویت‌شده با سطح دسترسی Subscriber و بالاتر فراهم می‌کند. این ضعف به مهاجمان اجازه می‌دهد passkeyها (کلیدهای عبور) را مشاهده و حذف کنند.
توضیحات
آسیب‌پذیری CVE-2025-10305 در پلاگین Secure Passkeys که برای احراز هویت بدون رمز عبور با استفاده از WebAuthn (فناوری احراز هویت بیومتریک) طراحی شده، ناشی از عدم بررسی مجوز در توابع delete_passkey() و passkeys_list() است و مطابق با CWE-862 طبقه‌بندی می‌شود.
این ضعف در تمام نسخه‌های 1.2.1 و پایین‌تر وجود دارد و به کاربران احراز هویت‌شده با حداقل سطح دسترسی Subscriber اجازه می‌دهد passkeyها (کلیدهای عبور) سایر کاربران را مشاهده (از طریق لیست کردن) و حذف کنند.
این آسیب‌پذیری با پیچیدگی پایین قابل بهره‌برداری است و نیاز به هیچ احراز هویت اضافی ندارد اما مهاجم باید دارای حساب Subscriber باشد. مهاجم بدون نیاز به تعامل کاربران دیگر می‌تواند passkeyهای حساس (مانند کلیدهای بیومتریک یا دستگاهی) را مشاهده و حذف کند و در نتیجه دسترسی کاربران به سیستم را مختل نماید.
این ضعف می‌تواند منجر به نقض محدود یکپارچگی با حذف غیرمجاز passkeyها و اختلال در احراز هویت کاربران شود.
توسعه‌دهندگان پلاگین این آسیب پذیری را در نسخه 1.2.2 با changeset 3363280 پچ کرده‌اند که شامل افزودن بررسی مجوز (capability check) به توابع delete_passkey() وpasskeys_list() است.
CVSS
| Score | Severity | Version | Vector String |
| 5.3 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected through 1.2.1 | Secure Passkeys |
لیست محصولات بروز شده
| Versions | Product |
| Update to version 1.2.2, or a newer patched version | Secure Passkeys |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که WordPress pluginرا ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور پلاگین های محصولات WordPress در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Product |
| 28,100 | WordPress plugin |
نتیجه گیری
این آسیب‌پذیری در Secure Passkeys، هرچند شدت متوسطی دارد اما به دلیل امکان مشاهده و حذف غیرمجاز passkeyها (کلیدهای عبور) توسط کاربران با سطح دسترسی پایین، امنیت مدیریت passkeyها و احراز هویت بدون رمز عبور در سایت‌های وردپرسی را تحت تأثیر قرار می‌دهد. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: پلاگین Secure Passkeys را به نسخه 1.2.2 یا بالاتر به‌روزرسانی کنید تا بررسی‌های مجوز (changeset 3363280)اعمال شود.
- محدودسازی سطح دسترسی: سطح دسترسی Subscriber را به دقت مدیریت کنید و از اعطای دسترسی غیرضروری به کاربران غیرقابل اعتماد خودداری کنید.
- تقویت احراز هویت: از احراز هویت دو عاملی (2FA) یا چند عاملی(MFA) برای حساب‌های حساس استفاده کنید تا حتی در صورت حذف passkey، دسترسی محدود شود.
- نظارت بر passkeyها: لاگ‌های پلاگین را برای حذف‌های مشکوک passkey بررسی کنید و کاربران را از تغییرات مطلع سازید.
- استفاده از پلاگین های امنیتی: از فایروال‌های وردپرس مانند Wordfence یا Sucuri برای مسدود کردن درخواست‌های غیرمجاز به توابع مدیریت passkey استفاده کنید.
- بررسی حساب‌های کاربری: تمام حساب‌های کاربری را برای فعالیت‌های مشکوک بررسی کنید و passkeyهای حذف‌شده را بازیابی یا در صورت لزوم بازسازی نمایید.
- آموزش کاربران: مدیران سایت را در مورد ریسک missing authorization (عدم بررسی مجوز) و اهمیت به‌روزرسانی پلاگین ها آگاه کنید.
اجرای این اقدامات، ریسک حذف غیرمجاز و اختلال در احراز هویت را به حداقل رسانده و امنیت سایت‌های وردپرسی را در برابر ضعف های پلاگین های passkey تضمین می‌کند. این آسیب‌پذیری بر اهمیت بررسی بررسی مجوز در توابع مدیریت passkey تأکید دارد.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
مهاجم با حساب معتبر سطح Subscriber وارد وردپرس می‌شود و به‌دلیل نبود بررسی مجوز در توابع passkeys_list() و delete_passkey() به مدیریت/نمایش Passkeyهای دیگران دسترسی پیدا می‌کند.
Defense Evasion (TA0005)
اقدامات از درون حساب قانونی و از مسیرهای “مجاز” اپلیکیشن انجام می‌شود؛ نویز پایین و شباهت رفتاری به کاربر واقعی → کشف سخت‌تر.
Discovery (TA0007)
با passkeys_list() می‌توان حساب‌ها/شناسه‌ها و متادیتای Passkey مرتبط را فهرست کرد و اهداف مناسب را شناسایی نمود.
Impact (TA0040)
حذف غیرمجاز Passkey باعث اختلال در احراز هویت کاربران، نقض محدود یکپارچگی داده‌های هویت، و ریسک DoS سطح کاربر می‌شود (کاربر نمی‌تواند وارد شود تا زمانی‌که دوباره ثبت‌نام کند). افشای اطلاعات نیز به‌صورت محدود (نمایش متادیتا) محتمل است.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-10305
- https://www.cvedetails.com/cve/CVE-2025-10305/
- https://www.wordfence.com/threat-intel/vulnerabilities/id/c41651ce-ee9b-408f-a25f-113d71beb935?source=cve
- https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3363280%40secure-passkeys&new=3363280%40secure-passkeys&sfp_email=&sfph_mail=#file2
- https://vuldb.com/?id.325064
- https://cwe.mitre.org/data/definitions/862.html
