Platform
wordpress
Component
kallyas
Opgelost in
4.21.1
CVE-2025-6989 is een kwetsbaarheid die het mogelijk maakt voor geauthenticeerde aanvallers om willekeurige mappen op een WordPress server te verwijderen. Deze kwetsbaarheid is te vinden in de KALLYAS - Creative eCommerce Multi-Purpose WordPress Theme, en beïnvloedt versies van 0.0.0 tot en met 4.21.0. Een patch is beschikbaar en wordt sterk aangeraden om deze te installeren.
Deze kwetsbaarheid stelt een geauthenticeerde aanvaller, met minimaal Contributor-niveau toegang, in staat om willekeurige bestanden en mappen op de server te verwijderen. Dit kan leiden tot dataverlies, verstoring van de dienstverlening en mogelijk zelfs volledige compromittering van de webserver. De impact is aanzienlijk, vooral voor websites die gevoelige informatie opslaan of afhankelijk zijn van de KALLYAS theme voor cruciale functionaliteit. Het misbruik van deze kwetsbaarheid kan vergelijkbare gevolgen hebben als het verwijderen van essentiële WordPress core bestanden, waardoor de website onbruikbaar wordt.
Deze kwetsbaarheid is openbaar bekend en er is een redelijke kans dat deze wordt misbruikt. Er zijn momenteel geen bekende actieve campagnes gericht op deze specifieke kwetsbaarheid, maar de lage drempel voor exploitatie (vereist alleen geauthenticeerde toegang) maakt het een aantrekkelijk doelwit. De kwetsbaarheid is opgenomen in het CISA KEV catalogus, wat de urgentie van mitigatie onderstreept.
Websites using the KALLYAS theme, particularly those with contributor-level users who have write access to the WordPress file system, are at risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable. Sites running older, unpatched versions of the theme are most susceptible.
• wordpress / composer / npm:
wp plugin list | grep kallyas• wordpress / composer / npm:
grep -r 'delete_font(' /var/www/html/wp-content/plugins/kallyas/*• wordpress / composer / npm:
wp plugin update kallyas --all• wordpress / composer / npm:
wp theme list | grep kallyasdisclosure
Exploit Status
EPSS
0.09% (26% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van de KALLYAS WordPress Theme naar de meest recente versie, waar deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van gebruikers tot Contributor-niveau of lager. Controleer de WordPress server logs op verdachte activiteiten, zoals pogingen om bestanden te verwijderen. Implementeer een WAF (Web Application Firewall) die pogingen tot ongeautoriseerde bestandstoegang kan blokkeren.
Actualice el tema Kallyas a la última versión disponible para solucionar la vulnerabilidad de eliminación arbitraria de carpetas. Asegúrese de realizar una copia de seguridad completa de su sitio web antes de actualizar el tema. Verifique que los permisos de los archivos y carpetas sean los correctos para evitar accesos no autorizados.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-6989 is a high-severity vulnerability in the KALLYAS WordPress theme allowing authenticated users to delete server folders due to flawed file path validation.
If you are using the KALLYAS WordPress theme version 0.0.0 through 4.21.0, you are potentially affected. Check your theme version and upgrade immediately.
Upgrade to the latest version of the KALLYAS theme. Consult the theme developer's website for the latest release and instructions.
While no active exploitation campaigns have been confirmed, the vulnerability is public and poses a significant risk. Monitor your systems for suspicious activity.
Refer to the KALLYAS theme developer's website or WordPress plugin repository for the official advisory and patch information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.