CVE-2025-1681: Luka w motywie Cardealer dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Motyw Cardealer dla WordPress w wersjach do 1.6.4 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym modyfikację lub usunięcie dowolnych plików CSS i JS. Problem wynika z braku weryfikacji uprawnień oraz braku sanitizacji nazw plików w funkcjach AJAX schematu motywu demo.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanych zmian w plikach motywu, co może skutkować defektami wizualnymi, błędami funkcjonalnymi lub potencjalnym wprowadzeniem złośliwego kodu. Operatorzy stron opartych na WordPress z tym motywem powinni traktować tę podatność poważnie, gdyż może ona wpłynąć na integralność i dostępność serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Cardealer u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu wyższego niż subskrybent, monitorować logi serwera pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji AJAX związanych z motywem demo.

Źródła

• NVD
• Reference
• Reference
• Reference