CVE-2020-36708
CriticalSummary
Wiele motywów WordPressa jest podatnych na wstrzykiwanie funkcji w wersjach do i włącznie z Shapely <= 1.2.7, NewsMag <= 2.4.1, Activello <= 1.4.0 i innymi. Problem wynika z funkcji epsilon_framework_ajax_action, co umożliwia nieautoryzowanym atakującym wywoływanie funkcji i zdalne wykonanie kodu.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa, ponieważ nieautoryzowani atakujący mogą uzyskać dostęp do systemu i wykonywać dowolny kod. Może to prowadzić do przejęcia kontroli nad stroną internetową oraz wycieku danych.
Recommendation
Zaleca się aktualizację wszystkich wymienionych motywów do najnowszych wersji, które eliminują tę podatność. Dodatkowo warto przeprowadzić audyt bezpieczeństwa, aby zidentyfikować i usunąć potencjalne zagrożenia.
Original NVD description (English source)
The following themes for WordPress are vulnerable to Function Injections in versions up to and including Shapely <= 1.2.7, NewsMag <= 2.4.1, Activello <= 1.4.0, Illdy <= 2.1.4, Allegiant <= 1.2.2, Newspaper X <= 1.3.1, Pixova Lite <= 2.0.5, Brilliance <= 1.2.7, MedZone Lite <= 1.2.4, Regina Lite <= 2.0.4, Transcend <= 1.1.8, Affluent <= 1.1.0, Bonkers <= 1.0.4, Antreas <= 1.0.2, Sparkling <= 2.4.8, and NatureMag Lite <= 1.0.4. This is due to epsilon_framework_ajax_action. This makes it possible for unauthenticated attackers to call functions and achieve remote code execution.