CVE-2025-12895: Kalium 3 WordPress Theme umożliwia nieautoryzowane wysyłanie e-maili

Co wiadomo

Motyw Kalium 3 dla WordPress i WooCommerce posiada lukę pozwalającą nieautoryzowanym użytkownikom na wysyłanie e-maili z serwera poprzez brak odpowiedniej weryfikacji uprawnień w funkcji kalium_vc_contact_form_request(). Luka dotyczy wszystkich wersji do 3.29 włącznie.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wysyłania niechcianych wiadomości e-mail z serwera, co może prowadzić do nadużyć, obniżenia reputacji domeny oraz potencjalnych problemów z dostarczalnością poczty. Właściciele stron korzystających z tego motywu powinni rozważyć ryzyko związane z wykorzystaniem serwera jako otwartego przekaźnika poczty.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Kalium i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do funkcji kontaktowych, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć wdrożenie dodatkowych mechanizmów uwierzytelniania i filtrowania ruchu e-mailowego.

Źródła

• NVD
• Reference
• Reference
• Reference