Vulnérabilités dans les thèmes Wordpress Thrive Themes Legacy

Date de publication :

CVE-2021-24219[Score CVSS v3 : En cours de calcul] : Une vulnérabilité a été corrigée dans les plusieurs thèmes Wordpress Thrive Themes Legacy. Thrive Legacy Themes enregistre un point de terminaison type REST API pour compresser les images à l'aide du moteur d'optimisation d'images Kraken. En fournissant une requête élaborée en combinaison avec des données insérées, un attaquant distant et non-authentifié peut être en mesure d'utiliser ce point de terminaison pour récupérer du code malveillant à partir d'une URL distante et écraser un fichier existant sur le site avec celui-ci ou créer un nouveau fichier.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Injection de code arbitraire

Criticité

  • Score CVSS v3 : En cours de calcul

Existence d’un code d’exploitation

  • Aucun code d'exploitation n'est disponible publiquement à l’heure actuelle.
  • Néanmoins il a été signalé par l'équipe Wordfence que cette vulnérabilité est activement exploitée.

Composants vulnérables

  • La liste des thèmes impactés est disponible dans l’avis de sécurité Wordfence en référence de ce bulletin.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Thrive Themes Legacy vers la version 2.0.0.

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens