KLEO-Theme-Plugin: Kritische Privilegieneskalations-Lücke behoben

Eine kritische Privilegieneskalation im K Elements Plugin – einem Bestandteil des beliebten KLEO WordPress-Themes – wurde behoben. Die Sicherheitslücke (CVE-2024-56000) beruht auf fehlerhafter Logik im Facebook Social-Login-Prozess.

Angreifer können dadurch mittels einfacher Angabe einer fremden E-Mail-Adresse den Authentifizierungsmechanismus umgehen und sich unberechtigt Zugriff verschaffen. Die Schwachstelle lag in der Funktion kleo_fb_intialize(), bei der keine ausreichende Überprüfung der von Facebook gelieferten Daten stattfand. Als Gegenmaßnahme wurde der Login-Prozess durch die Nutzung der Funktion kleo_verify_facebook_token_and_get_data abgesichert, um die Authentizität der übermittelten Daten sicherzustellen.

Nutzer des KLEO Themes werden dringend gebeten, das K Elements Plugin auf Version 5.4.0 bzw. das KLEO Theme auf Version 5.4.4 zu aktualisieren.

Tags :

Related Posts

Kritische Sicherheitslücke beiLexmark Print Management Client (LPMC) entdeckt (CVE-2025-1126)

Die Lexmark International, Inc. warnt vor einer kritischen Sicherheitslücke (CVE-2025-1126) in ihrem Lexmark Print Management Client (LPMC). Betroffen sind die Versionen 3.0.0 bis 3.4.0 auf Windows-, Mac- und Linux-Systemen. Laut Lexmark kann die Schwachstelle (CVSSv3-Basiswert 9.3) Angreifern ermöglichen, beliebige Prozesse mit SYSTEM- oder Root-Rechten zu starten oder Verzeichnisse zu löschen, die normalerweise Administrator-Berechtigungen erfordern.

Read More

WinZip-Sicherheitslücke ermöglicht Remote Code Execution

Am 13. Februar 2025 wurde eine kritische Schwachstelle in WinZip entdeckt, die Angreifern die Ausführung von beliebigem Code aus der Ferne ermöglicht. Die Sicherheitslücke CVE-2025-1240 beruht auf fehlerhafter Verarbeitung von 7Z-Dateien, bei der unzureichend validierte Benutzereingaben zu einem Pufferüberlauf führen. Eine Ausnutzung setzt voraus, dass der Nutzer eine manipulierte Datei öffnet oder eine kompromittierte Webseite besucht – etwa über Phishing oder andere Social-Engineering-Tricks. Mit einem CVSSv3-Basiswert von 7.8 wird das hohe Risiko dieser Schwachstelle deutlich. Die Problematik wurde in WinZip Version 29.0 behoben, weshalb Anwender dringend zum Update aufgefordert werden, um ihre Systeme zu schützen.

Read More

Zero-Day-Schwachstelle in PAN-OS: Authentifizierungsumgehung durch Path Confusion

Ein Sicherheitsforscherteam von Assetnote hat eine kritische Schwachstelle in der PAN-OS Management-Schnittstelle von Palo Alto Networks entdeckt, die es Angreifern ermöglicht, die Authentifizierung zu umgehen (CVE-2025-0108). Der Fehler beruht auf einer Pfadverwirrung zwischen Nginx und Apache, bei der die unterschiedlich interpretierte URL zu einem Authentifizierungsfehler führt. Konkret wird ein Header, der in Nginx korrekt gesetzt wird, durch die doppelte URL-Dekodierung in Apache manipuliert, sodass schlussendlich der Schutzmechanismus aufgehoben wird und sensible administrative Funktionen ohne Login aufgerufen werden können.

Read More