CVE-2025-0682: podatność Local File Inclusion w wtyczce ThemeREX Addons dla WordPress

Co wiadomo

Wtyczka ThemeREX Addons dla WordPress do wersji 2.33.0 włącznie zawiera lukę Local File Inclusion w atrybucie 'type' shortcode 'trx_sc_reviews'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy wykonanie dowolnych plików PHP na serwerze.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wykorzystać tę lukę do obejścia mechanizmów kontroli dostępu, uzyskania dostępu do wrażliwych danych lub wykonania złośliwego kodu PHP na serwerze. Może to prowadzić do poważnych naruszeń bezpieczeństwa i destabilizacji środowiska WordPress, wpływając negatywnie na dostępność i integralność usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ThemeREX Addons i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'trx_sc_reviews'.

Źródła

• NVD
• Reference
• Reference