KLEO-Theme-Plugin: Kritische Privilegieneskalations-Lücke behoben

Eine kritische Privilegieneskalation im K Elements Plugin – einem Bestandteil des beliebten KLEO WordPress-Themes – wurde behoben. Die Sicherheitslücke (CVE-2024-56000) beruht auf fehlerhafter Logik im Facebook Social-Login-Prozess.

Angreifer können dadurch mittels einfacher Angabe einer fremden E-Mail-Adresse den Authentifizierungsmechanismus umgehen und sich unberechtigt Zugriff verschaffen. Die Schwachstelle lag in der Funktion kleo_fb_intialize(), bei der keine ausreichende Überprüfung der von Facebook gelieferten Daten stattfand. Als Gegenmaßnahme wurde der Login-Prozess durch die Nutzung der Funktion kleo_verify_facebook_token_and_get_data abgesichert, um die Authentizität der übermittelten Daten sicherzustellen.

Nutzer des KLEO Themes werden dringend gebeten, das K Elements Plugin auf Version 5.4.0 bzw. das KLEO Theme auf Version 5.4.4 zu aktualisieren.

Tags :

Related Posts

Phishing Bedrohung durch Scalable Vector Graphics (SVG)

Laut Sophos wird in aktuellen Phishing-Kampagnen verstärkt das Grafikdateiformat SVG (Scalable Vector Graphics) missbraucht, um Schutzmechanismen von Mail-Gateways und Sicherheitslösungen zu umgehen. Die Dateien, die als Anhang in Spam-E-Mails verschickt werden, verweisen beim Öffnen im Browser (Standardprogramm unter Windows) auf externe Webseiten, hinter denen sich gefälschte Anmeldedialoge oder sogar Malware verbergen.

Read More

WinZip-Sicherheitslücke ermöglicht Remote Code Execution

Am 13. Februar 2025 wurde eine kritische Schwachstelle in WinZip entdeckt, die Angreifern die Ausführung von beliebigem Code aus der Ferne ermöglicht. Die Sicherheitslücke CVE-2025-1240 beruht auf fehlerhafter Verarbeitung von 7Z-Dateien, bei der unzureichend validierte Benutzereingaben zu einem Pufferüberlauf führen. Eine Ausnutzung setzt voraus, dass der Nutzer eine manipulierte Datei öffnet oder eine kompromittierte Webseite besucht – etwa über Phishing oder andere Social-Engineering-Tricks. Mit einem CVSSv3-Basiswert von 7.8 wird das hohe Risiko dieser Schwachstelle deutlich. Die Problematik wurde in WinZip Version 29.0 behoben, weshalb Anwender dringend zum Update aufgefordert werden, um ihre Systeme zu schützen.

Read More

CVE-2022-31631: PDO::quote() in PDO_SQLite führt zu SQL Injection

Eine kritische Sicherheitslücke (CVE-2022-31631) in PHPs PDO_SQLite-Komponente wurde veröffentlicht. In betroffenen PHP-Versionen (8.0.x vor 8.0.27, 8.1.x vor 8.1.15 und 8.2.x vor 8.2.2) kann die Funktion PDO::quote() bei der Verarbeitung von benutzerdefinierten, überlangen Strings einen unzureichend zitierten String zurückliefern – konkret lediglich ein einzelnes Apostroph.

Read More