CVE-2020-36708
KrytyczneStreszczenie
Wiele motywów WordPressa jest podatnych na wstrzykiwanie funkcji w wersjach do i włącznie z Shapely <= 1.2.7, NewsMag <= 2.4.1, Activello <= 1.4.0 i innymi. Problem wynika z funkcji epsilon_framework_ajax_action, co umożliwia nieautoryzowanym atakującym wywoływanie funkcji i zdalne wykonanie kodu.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa, ponieważ nieautoryzowani atakujący mogą uzyskać dostęp do systemu i wykonywać dowolny kod. Może to prowadzić do przejęcia kontroli nad stroną internetową oraz wycieku danych.
Rekomendacja
Zaleca się aktualizację wszystkich wymienionych motywów do najnowszych wersji, które eliminują tę podatność. Dodatkowo warto przeprowadzić audyt bezpieczeństwa, aby zidentyfikować i usunąć potencjalne zagrożenia.
Oryginalny opis (angielski, źródło NVD)
The following themes for WordPress are vulnerable to Function Injections in versions up to and including Shapely <= 1.2.7, NewsMag <= 2.4.1, Activello <= 1.4.0, Illdy <= 2.1.4, Allegiant <= 1.2.2, Newspaper X <= 1.3.1, Pixova Lite <= 2.0.5, Brilliance <= 1.2.7, MedZone Lite <= 1.2.4, Regina Lite <= 2.0.4, Transcend <= 1.1.8, Affluent <= 1.1.0, Bonkers <= 1.0.4, Antreas <= 1.0.2, Sparkling <= 2.4.8, and NatureMag Lite <= 1.0.4. This is due to epsilon_framework_ajax_action. This makes it possible for unauthenticated attackers to call functions and achieve remote code execution.