CVE-2025-53345: критическая уязвимость установки произвольных плагинов в WordPress Thim Core
В плагине Thim Core для WordPress (версии до 2.3.3 включительно) обнаружена уязвимость отсутствия проверки авторизации, позволяющая устанавливать произвольные плагины. Проблема получила оценку CVSS 8.8 (HIGH) и затрагивает сайты, использующие уязвимые версии плагина. Злоумышленник может воспользоваться ею для полной компрометации ресурса.
Подробности
Уязвимость классифицируется как Missing Authorization (отсутствие проверки авторизации) и позволяет злоумышленнику устанавливать произвольные плагины на уязвимый сайт. Согласно описанию, проблема затрагивает Thim Core во всех версиях вплоть до 2.3.3 включительно (диапазон «from n/a through 2.3.3»). Базовый балл CVSS составляет 8.8, что соответствует высокому уровню опасности. Такая оценка отражает потенциально серьёзные последствия: получив возможность устанавливать произвольные плагины, атакующий может внедрить вредоносный код, получить удалённое выполнение кода и полностью взять контроль над сайтом. При этом не требуется наличие учётной записи с высокими привилегиями — именно отсутствие должной проверки авторизации делает эксплуатацию относительно простой. Продукт: Thim Core (ThimPress). Уязвимые версии: до 2.3.3 включительно. Тип: Missing Authorization. Оценка: CVSS 8.8 (HIGH).Что делать
Основная рекомендация — обновить плагин Thim Core до версии, в которой устранена уязвимость. Если разработчик уже выпустил исправление, установите его как можно скорее. При отсутствии обновления или если плагин не используется, рассмотрите возможность его удаления. В качестве дополнительных мер защиты рекомендуется: - ограничить доступ к административной панели WordPress по IP или с помощью дополнительной аутентификации; - использовать WAF (веб-приложение firewall) для фильтрации подозрительных запросов; - регулярно проверять список установленных плагинов и целостность файлов сайта; - настроить мониторинг и резервное копирование, чтобы быстро обнаружить и откатить нежелательные изменения; - следить за официальными уведомлениями ThimPress и базами уязвимостей на предмет выхода патча. Итог CVE-2025-53345 — серьёзная уязвимость в плагине Thim Core, позволяющая из-за отсутствия проверки авторизации устанавливать произвольные плагины и тем самым потенциально полностью компрометировать сайт на WordPress. Оценка CVSS 8.8 подчёркивает высокий уровень риска. Владельцам сайтов, использующих Thim Core версии 2.3.3 и ниже, необходимо незамедлительно обновить плагин или применить компенсирующие меры защиты.Источник: CVE Project (cvelistV5)