NativeChurch WordPress-Theme: Path Traversal erlaubt Download beliebiger Dateien

Zusammenfassung

Das NativeChurch-Theme für WordPress vor Version 1.6.2 enthält eine Path-Traversal-Schwachstelle im Parameter file von download.php. Ein nicht authentifizierter Angreifer kann mit manipulierten GET-Anfragen beliebige Dateien vom Server herunterladen, etwa wp-config.php, die Datenbank-Zugangsdaten enthält. Es sind weder Anmeldung noch Benutzerinteraktion nötig. Es gibt Hinweise auf Ausnutzung, und öffentliche Erkennungsvorlagen sind verfügbar.

Betroffen

• NativeChurch-Theme (imithemes), Versionen vor 1.6.2
• Die aktuelle Versionsnummer des Herstellers (4.9.5) weicht von der Nummerierung 1.6.2 im CVE-Eintrag ab. Installierte Version anhand der Theme-Dateien oder des Herstellerchangelogs überprüfen.

Behoben in

• Version 1.6.2 oder neuer

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Falls das Theme nicht verwendet wird, deaktivieren und entfernen.
• Falls es bleiben muss, den Webserver-Zugriff auf download.php einschränken und wp-config.php möglichst ausser Reichweite halten.
• Bei vermuteter Offenlegung Datenbank-Zugangsdaten und Salts erneuern.

Ausnutzung

• Hinweise auf Ausnutzung wurden erstmals am 2023-10-19 von der Shadowserver Foundation beobachtet.
• CISA-SSVC-Bewertung: Ausnutzungsstatus poc, automatisierbar: ja, technische Auswirkung: partiell.
• Eine öffentliche Nuclei-Erkennungsvorlage ist vorhanden.
• Ein Aggregator führt die Schwachstelle als beobachtet im VulnCheck-KEV-Katalog, eine andere Quelle führt sie nicht als bekannt ausgenutzt. Der Status im CISA-KEV-Katalog wurde nicht überprüft.

Unsere Empfehlung

• Prüfen, ob WordPress-Seiten das NativeChurch-Theme verwenden, und die Version bestätigen.
• Auf Version 1.6.2 oder neuer aktualisieren.
• Webserver-Logs auf Anfragen an download.php mit Traversal-Sequenzen wie ../ prüfen.
• Werden solche Anfragen gefunden, die Seite als kompromittiert behandeln: Zugangsdaten erneuern und die Seite überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Nuclei template nativechurch-wp-theme-lfd (GitHub) github.com
• Native Church theme page (imithemes) imithemes.com
• VulnCheck advisory: NativeChurch arbitrary file download www.vulncheck.com
• WPScan vulnerability entry wpscan.com
• WPScan theme NativeChurch wpscan.com
• OpenCVE CVE-2014-125133 app.opencve.io
• VulDB entry 423011 vuldb.com
• Exploit-Intel CVE-2014-125133 exploit-intel.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:26.