Вразливість Local File Inclusion у темі XStore для WordPress (CVE-2025-11746)

Що відомо

Тема XStore для WordPress до версії 9.5.4 включно містить уразливість Local File Inclusion через функцію theet_ajax_required_plugins_popup(). Аутентифіковані користувачі з рівнем доступу Subscriber і вище можуть виконувати довільний PHP-код на сервері.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам обходити механізми контролю доступу, отримувати конфіденційні дані або виконувати довільний код на сервері, що може призвести до компрометації веб-сайту та інфраструктури. Власники сайтів на базі WordPress із темою XStore повинні розглядати цю загрозу як критичну для безпеки.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень теми XStore від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит завантажених файлів і журналів доступу, а також обмежити можливість завантаження та виконання PHP-файлів користувачами з низьким рівнем доступу.

Джерела

• NVD
• Reference
• Reference