CVE-2025-15470: Usuwanie katalogów w motywie Eleganzo dla WordPress

Co wiadomo

Motyw Eleganzo dla WordPress do wersji 1.2 włącznie zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym usuwanie dowolnych katalogów na serwerze, w tym katalogu głównego WordPress. Problem wynika z niewystarczającej walidacji ścieżek w funkcji akd_required_plugin_callback.

Wpływ biznesowy

Luka może prowadzić do usunięcia kluczowych katalogów na serwerze, co skutkuje przerwami w działaniu witryny, utratą danych lub koniecznością przywracania systemu z kopii zapasowej. Operatorzy IT powinni traktować tę podatność jako poważne zagrożenie dla integralności i dostępności środowiska WordPress, zwłaszcza jeśli motyw Eleganzo jest używany w ich infrastrukturze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji motywu Eleganzo i aktualizację do najnowszej dostępnej wersji, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi serwera pod kątem podejrzanych działań związanych z usuwaniem katalogów. Warto również rozważyć ograniczenie uprawnień plików i katalogów, aby zminimalizować ryzyko nadużyć.

Źródła

• NVD
• Reference
• Reference