Plataforma
wordpress
Componente
kallyas
Corregido en
4.21.1
La vulnerabilidad CVE-2025-6989 afecta al tema KALLYAS para WordPress, permitiendo la eliminación arbitraria de carpetas en el servidor. Esta falla se debe a una validación insuficiente de la ruta del archivo en la función delete_font(). Atacantes autenticados con privilegios de Contribuidor o superiores pueden explotar esta vulnerabilidad. Las versiones afectadas son desde 0.0.0 hasta la 4.21.0.
Un atacante con acceso autenticado (nivel Contribuidor o superior) puede explotar esta vulnerabilidad para eliminar carpetas arbitrarias en el servidor donde está alojado el sitio WordPress. Esto podría resultar en la pérdida de datos críticos, la interrupción del servicio o incluso el compromiso total del servidor. La capacidad de eliminar archivos arbitrarios representa un riesgo significativo para la integridad y confidencialidad de la información almacenada en el servidor. La eliminación de carpetas esenciales del sistema podría provocar una denegación de servicio o permitir la ejecución de código malicioso.
La vulnerabilidad CVE-2025-6989 se publicó el 26 de julio de 2025. No se ha reportado su inclusión en el KEV de CISA ni la existencia de exploits públicos activos. Sin embargo, la naturaleza de la vulnerabilidad (eliminación de archivos arbitrarios) la convierte en un objetivo atractivo para atacantes, especialmente aquellos que buscan comprometer sitios WordPress con privilegios limitados.
Websites using the KALLYAS theme, particularly those with contributor-level users who have write access to the WordPress file system, are at risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable. Sites running older, unpatched versions of the theme are most susceptible.
• wordpress / composer / npm:
wp plugin list | grep kallyas• wordpress / composer / npm:
grep -r 'delete_font(' /var/www/html/wp-content/plugins/kallyas/*• wordpress / composer / npm:
wp plugin update kallyas --all• wordpress / composer / npm:
wp theme list | grep kallyasdisclosure
Estado del Exploit
EPSS
0.09% (26% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el tema KALLYAS a una versión corregida que solucione la validación de la ruta del archivo. Si la actualización no es posible de inmediato, se recomienda restringir el acceso a la función deletefont() a usuarios con privilegios administrativos. Además, implementar un sistema de copia de seguridad regular del sitio WordPress es crucial para minimizar el impacto de una posible explotación. Monitorear los registros del servidor en busca de intentos de acceso sospechosos a la función deletefont() también puede ayudar a detectar y prevenir ataques.
Actualice el tema Kallyas a la última versión disponible para solucionar la vulnerabilidad de eliminación arbitraria de carpetas. Asegúrese de realizar una copia de seguridad completa de su sitio web antes de actualizar el tema. Verifique que los permisos de los archivos y carpetas sean los correctos para evitar accesos no autorizados.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-6989 is a high-severity vulnerability in the KALLYAS WordPress theme allowing authenticated users to delete server folders due to flawed file path validation.
If you are using the KALLYAS WordPress theme version 0.0.0 through 4.21.0, you are potentially affected. Check your theme version and upgrade immediately.
Upgrade to the latest version of the KALLYAS theme. Consult the theme developer's website for the latest release and instructions.
While no active exploitation campaigns have been confirmed, the vulnerability is public and poses a significant risk. Monitor your systems for suspicious activity.
Refer to the KALLYAS theme developer's website or WordPress plugin repository for the official advisory and patch information.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.