Kritische Sicherheitslücke in WordPress-Theme ermöglicht Angriffe

LONDON (IT BOLTWISE) – Eine schwerwiegende Sicherheitslücke in einem beliebten WordPress-Theme hat es Angreifern ermöglicht, zahlreiche Websites zu übernehmen. Diese Schwachstelle, die unter CVE-2025-5394 bekannt ist, wird derzeit aktiv ausgenutzt.

Eine kritische Sicherheitslücke im “Alone – Charity Multipurpose Non-profit WordPress Theme” hat es Bedrohungsakteuren ermöglicht, anfällige Websites zu kapern. Die Schwachstelle, die als CVE-2025-5394 verfolgt wird, weist einen CVSS-Wert von 9,8 auf und wurde von dem Sicherheitsforscher Thái An entdeckt und gemeldet. Laut Wordfence betrifft das Problem einen beliebigen Dateiupload, der alle Versionen des Plugins bis einschließlich 7.8.3 betrifft. Diese Lücke wurde in der Version 7.8.5, die am 16. Juni 2025 veröffentlicht wurde, behoben.

Die Schwachstelle CVE-2025-5394 ist in einer Plugin-Installationsfunktion namens “alone_import_pack_install_plugin()” verwurzelt und resultiert aus einer fehlenden Berechtigungsprüfung. Dadurch können nicht authentifizierte Benutzer beliebige Plugins aus entfernten Quellen über AJAX bereitstellen und Code ausführen. “Diese Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien auf eine anfällige Website hochzuladen und eine Remote-Code-Ausführung zu erreichen, was typischerweise für eine vollständige Übernahme der Website genutzt wird”, erklärte István Márton von Wordfence.

Beweise zeigen, dass CVE-2025-5394 ab dem 12. Juli ausgenutzt wurde, zwei Tage bevor die Schwachstelle öffentlich bekannt gegeben wurde. Dies deutet darauf hin, dass die hinter der Kampagne stehenden Bedrohungsakteure möglicherweise aktiv Codeänderungen überwacht haben, um neu adressierte Schwachstellen zu identifizieren. Das Unternehmen gab an, bereits 120.900 Exploit-Versuche blockiert zu haben, die auf die Schwachstelle abzielen.

Die Angriffe stammen von verschiedenen IP-Adressen, darunter 193.84.71.244 und 87.120.92.241. In den beobachteten Angriffen wird die Schwachstelle genutzt, um ein ZIP-Archiv (“wp-classic-editor.zip” oder “background-image-cropper.zip”) hochzuladen, das eine PHP-basierte Hintertür enthält, um Remote-Befehle auszuführen und zusätzliche Dateien hochzuladen. Auch voll funktionsfähige Dateimanager und Hintertüren, die in der Lage sind, gefälschte Administratorenkonten zu erstellen, werden bereitgestellt.

Um potenzielle Bedrohungen zu mindern, wird WordPress-Website-Betreibern, die das Theme verwenden, geraten, die neuesten Updates anzuwenden, nach verdächtigen Administratorbenutzern zu suchen und Protokolle auf die Anfrage “/wp-admin/admin-ajax.php?action=alone_import_pack_install_plugin” zu überprüfen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder, KI-Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!