Car Dealer Automotive WordPress Theme – Responsive <= 1.6.3 - Geauthenticeerde (Abonnee+) Willekeurige Bestandverwijdering en Lezen

Een succesvolle exploitatie van CVE-2025-1282 kan verstrekkende gevolgen hebben. Geauthenticeerde aanvallers met Subscriber-niveau toegang of hoger kunnen willekeurige bestanden op de server verwijderen. Het verwijderen van kritieke bestanden, zoals wp-config.php, kan leiden tot volledige controle over de WordPress-installatie, waardoor de aanvaller code kan uitvoeren, gevoelige gegevens kan stelen en de website kan compromitteren. Daarnaast kan de add_car() functie mogelijk gebruikt worden om willekeurige bestanden te lezen, wat de potentie voor data-exfiltratie vergroot. Dit is vergelijkbaar met eerdere WordPress thema kwetsbaarheden waarbij onvoldoende validatie van bestandspaden werd gebruikt.

WordPress websites using the Car Dealer Automotive WordPress Theme – Responsive are at risk. Specifically, sites running versions 1.0.0 through 1.6.3 are vulnerable. Shared hosting environments are particularly at risk, as they often have limited control over file permissions and security configurations. Sites with weak password policies or compromised user accounts are also more susceptible to exploitation.

• wordpress / composer / npm:

wp plugin list | grep 'Car Dealer Automotive WordPress Theme'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

grep -r 'delete_post_photo' /var/www/html/wp-content/plugins/car-dealer-responsive/

• wordpress / composer / npm:

wp plugin status | grep 'Car Dealer Automotive WordPress Theme'

1. 2025-02-27Disclosure

   disclosure

1. Gereserveerd2025-02-13
2. Gepubliceerd2025-02-27
3. Gewijzigd2026-04-08
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2025-1282 is het upgraden van de Car Dealer Automotive WordPress Theme – Responsive naar de meest recente versie, waar de kwetsbaarheid is verholpen. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de bestandstoegangsrechten op de server. Implementeer een Web Application Firewall (WAF) met regels die pogingen tot het verwijderen van bestanden via de deletepostphoto() en add_car() functies blokkeren. Controleer de WordPress-installatie op verdachte bestanden of wijzigingen die duiden op een inbreuk.