Plateforme
wordpress
Composant
kallyas
Corrigé dans
4.21.1
Le thème KALLYAS pour WordPress présente une vulnérabilité permettant la suppression arbitraire de dossiers. Cette faille est due à une validation insuffisante du chemin d'accès aux fichiers dans la fonction delete_font(). Les attaquants authentifiés, disposant d'un accès de niveau Contributeur ou supérieur, peuvent exploiter cette vulnérabilité pour supprimer des dossiers sur le serveur. Les versions affectées sont les versions de 0.0.0 à 4.21.0.
L'exploitation réussie de cette vulnérabilité permet à un attaquant authentifié de supprimer des dossiers arbitraires sur le serveur hébergeant le site WordPress. Cela peut entraîner une perte de données significative, une corruption du site web et potentiellement compromettre l'ensemble du système. La suppression de dossiers critiques du système peut rendre le site web inaccessible et nécessiter une restauration à partir d'une sauvegarde. Bien que l'accès nécessite un compte Contributeur ou supérieur, la facilité d'obtention de tels comptes dans certaines configurations WordPress rend cette vulnérabilité particulièrement préoccupante.
Cette vulnérabilité a été rendue publique le 26 juillet 2025. Il n'y a pas d'indication d'une exploitation active à ce jour, ni de mention sur la liste KEV de CISA. Des preuves de concept (PoC) pourraient être publiées prochainement, augmentant le risque d'exploitation. La nécessité d'un accès authentifié limite l'impact, mais la simplicité de l'exploitation pourrait la rendre attrayante pour des attaquants moins sophistiqués.
Websites using the KALLYAS theme, particularly those with contributor-level users who have write access to the WordPress file system, are at risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable. Sites running older, unpatched versions of the theme are most susceptible.
• wordpress / composer / npm:
wp plugin list | grep kallyas• wordpress / composer / npm:
grep -r 'delete_font(' /var/www/html/wp-content/plugins/kallyas/*• wordpress / composer / npm:
wp plugin update kallyas --all• wordpress / composer / npm:
wp theme list | grep kallyasdisclosure
Statut de l'Exploit
EPSS
0.09% (percentile 26%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour le thème KALLYAS vers une version corrigée, dès qu'elle sera disponible. En attendant, des mesures d'atténuation peuvent être mises en place. Il est fortement recommandé de restreindre les privilèges des comptes utilisateurs sur le site WordPress, en limitant l'accès aux fonctionnalités de gestion de fichiers. De plus, la mise en place d'un pare-feu applicatif web (WAF) peut aider à bloquer les requêtes malveillantes ciblant la fonction delete_font(). Surveillez attentivement les journaux du serveur pour détecter toute activité suspecte, notamment les tentatives de suppression de fichiers ou de dossiers.
Actualice el tema Kallyas a la última versión disponible para solucionar la vulnerabilidad de eliminación arbitraria de carpetas. Asegúrese de realizar una copia de seguridad completa de su sitio web antes de actualizar el tema. Verifique que los permisos de los archivos y carpetas sean los correctos para evitar accesos no autorizados.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-6989 is a high-severity vulnerability in the KALLYAS WordPress theme allowing authenticated users to delete server folders due to flawed file path validation.
If you are using the KALLYAS WordPress theme version 0.0.0 through 4.21.0, you are potentially affected. Check your theme version and upgrade immediately.
Upgrade to the latest version of the KALLYAS theme. Consult the theme developer's website for the latest release and instructions.
While no active exploitation campaigns have been confirmed, the vulnerability is public and poses a significant risk. Monitor your systems for suspicious activity.
Refer to the KALLYAS theme developer's website or WordPress plugin repository for the official advisory and patch information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.