Los siguientes temas para WordPress son vulnerables a Inyecciones de Funciones en versiones hasta y incluyendo Shapely <= 1.2.7, NewsMag <= 2.4.1, Activello <= 1.4.0, Illdy <= 2.1.4, Allegiant <= 1.2.2, Newspaper X <= 1.3.1, Pixova Lite <= 2.0.5, Brilliance <= 1.2.7, MedZone Lite <= 1.2.4, Regina Lite <= 2.0.4, Transcend <= 1.1.8, Affluent <= 1.1.0, Bonkers <= 1.0.4, Antreas <= 1.0.2, Sparkling <= 2.4.8, y NatureMag Lite <= 1.0.4.

Esta vulnerabilidad representa un riesgo crítico para sitios web que utilizan los temas afectados. Un atacante puede explotar esta falla para ejecutar comandos en el servidor web, lo que podría resultar en la toma de control completa del sitio. Esto incluye la capacidad de modificar archivos, insertar código malicioso, robar información confidencial (como credenciales de usuarios o datos de clientes), o incluso utilizar el servidor como punto de partida para ataques a otros sistemas en la red. La inyección de funciones es una técnica de ataque potente que permite a los atacantes eludir las medidas de seguridad tradicionales y obtener acceso no autorizado a recursos sensibles. La gravedad de la vulnerabilidad se agrava por el hecho de que no requiere autenticación, lo que significa que cualquier persona puede intentar explotarla.

Websites using WordPress with the affected themes (Shapely, NewsMag, Allegiant, etc.) are at risk, particularly those with outdated installations or lacking robust security practices. Shared hosting environments are especially vulnerable as they often host multiple WordPress instances, increasing the potential attack surface.

• wordpress / composer / npm:

grep -r 'epsilon_framework_ajax_action' /var/www/html/wp-content/themes/
wp plugin list --all | grep shapely
wp plugin list --all | grep newsmag

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=epsilon_framework_ajax_action

1. 2020-07-15Discovery

   discovery

2. 2023-06-07Disclosure

   disclosure

3. 2023-06-07Patch

   patch

1. Reservado2023-06-06
2. Publicada2023-06-07
3. Modificada2024-12-28
4. EPSS actualizado2026-04-02

La solución principal es actualizar los temas afectados a la versión 2.4.9 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio web antes de proceder. Como medida temporal, se puede implementar un firewall de aplicaciones web (WAF) para bloquear solicitudes maliciosas que intenten explotar la vulnerabilidad. Además, revise los archivos del tema en busca de código sospechoso y elimínelo. Implemente reglas de seguridad en el servidor web para restringir el acceso a archivos y directorios sensibles. Monitoree los registros del servidor en busca de actividad inusual que pueda indicar un intento de explotación.