De plugin ThemeREX Addons voor WordPress bevat een kwetsbaarheid in alle versies tot en met 2.35.1.1. Door onvoldoende inputreiniging en output escaping kan er via SVG-bestandsuploads cross-site scripting plaatsvinden. Hierdoor kunnen aanvallers met minimaal Contributor-toegangsvlak kwaadaardige webscripts injecteren die worden uitgevoerd zodra een gebruiker het SVG-bestand opent.
Overzicht
De kwetsbaarheid maakt misbruik van de trx_addons_get_svg_from_file functie, die geen adequate controle uitvoert op de herkomst, het schema of de inhoud van de URL van het SVG-bestand. Dit kan worden misbruikt door geverifieerde aanvallers met een Contributor-rol of hoger.
Aanbevelingen
- Bijwerken naar een gepatchte versie boven 2.35.1.1 indien beschikbaar via de officiële ThemeREX Addons pagina.
- Beperk toegang op het niveau van Contributor totdat een patch beschikbaar is.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-6997?
Het is een kwetsbaarheid in ThemeREX Addons die cross-site scripting mogelijk maakt via SVG-bestanduploads.
Welke systemen zijn kwetsbaar voor CVE-2025-6997?
Alle WordPress-installaties die de ThemeREX Addons plugin gebruiken tot versie 2.35.1.1.
Bestaat er al een patch of beveiligingsupdate?
Momenteel is het aanbevolen om de plugin bij te werken via de officiële site zodra een patch beschikbaar is.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan willekeurige webscripts injecteren en uitvoeren, wat leidt tot mogelijke gegevensdiefstal of verder misbruik van de website.
