CVE-2025-2525: Luka w motywie Streamit dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Motyw Streamit dla WordPress do wersji 4.0.1 ma lukę w funkcji st_Authentication_Controller::edit_profile, która nie weryfikuje typu przesyłanych plików. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą przesłać złośliwe pliki na serwer, co stwarza ryzyko przejęcia kontroli nad stroną i infrastrukturą. Może to skutkować utratą danych, przerwami w działaniu serwisu oraz naruszeniem bezpieczeństwa użytkowników i firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Streamit i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi serwera pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie funkcji edycji profilu. Priorytetowo traktuj ocenę ryzyka i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference