Уразливість Local File Inclusion у темі kallyas для WordPress (CVE-2025-6991)

Що відомо

Тема kallyas для WordPress до версії 4.21.0 включно містить уразливість Local File Inclusion через віджет 'TH_LatestPosts4'. Аутентифіковані користувачі з рівнем доступу Contributor і вище можуть виконувати довільний PHP-код на сервері.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам обходити контролі доступу, виконувати довільний код і потенційно отримувати конфіденційні дані. Власники сайтів на базі WordPress з темою kallyas ризикують компрометацією серверу та порушенням цілісності даних.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми kallyas від розробника та негайно їх застосувати. Якщо оновлення недоступні, слід обмежити права користувачів до рівня нижче Contributor, переглянути логи на предмет підозрілої активності та мінімізувати можливість завантаження та виконання PHP-файлів.

Джерела

• NVD
• Reference
• Reference