ChurcHope WordPress Theme: Path Traversal ermöglicht Lesen beliebiger Dateien

Zusammenfassung

Das ChurcHope-Theme für WordPress in Versionen vor 2.2 enthält eine Path-Traversal-Schwachstelle im Parameter file von /wp-content/themes/churchope/lib/downloadlink.php. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit Verzeichnistraversierungs-Sequenzen beliebige Dateien vom Webserver herunterladen, zum Beispiel wp-config.php, was Datenbank-Zugangsdaten offenlegen kann. Öffentliche Scanner-Vorlagen existieren, und laut Shadowserver Foundation wurden Ausnutzungsversuche beobachtet; der Ausnutzungsstatus ist in den Quellen widersprüchlich.

Betroffen

• ChurcHope-WordPress-Theme in Versionen vor 2.2 (betroffener Bereich 0 bis < 2.2 laut CNA-Eintrag; WPScan nennt <= 2.1)
• Hinweis: VulDB bezeichnet das Produkt als Plugin; andere Quellen bezeichnen es als Theme.

Behoben in

• Version 2.2 (laut allen Quellen; keine Herstellermeldung oder Changelog zur Bestätigung gefunden)

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Generische Option (für dieses Theme nicht getestet): Theme und Datei lib/downloadlink.php entfernen.
• Generische Option (für dieses Theme nicht getestet): Webzugriff auf /lib/downloadlink.php am Webserver oder WAF einschränken.

Ausnutzung

• Offizieller CNA-Eintrag (SSVC): Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: partiell.
• Laut Shadowserver Foundation wurde Ausnutzung erstmals am 18.10.2023 beobachtet (Datum liegt vor der Veröffentlichung 2026; ungeklärt).
• Ein Eintrag im VulnCheck KEV wird von einem Aggregator gemeldet, konnte aber nicht verifiziert werden; kein Eintrag im CISA KEV gefunden.
• Eine öffentliche Nuclei-Erkennungsvorlage existiert; Packet Storm listet einen Eintrag (Inhalt nicht geprüft). VulDB gibt an, dass kein Exploit existiert.

Unsere Empfehlung

• Das ChurcHope-Theme auf Version 2.2 oder höher aktualisieren oder das Theme entfernen, falls es nicht benötigt wird.
• Falls kein Update möglich ist, den Zugriff auf downloadlink.php am Webserver oder WAF blockieren.
• Webserver-Logs auf Anfragen an downloadlink.php mit '../'-Sequenzen prüfen.
• Falls das Theme erreichbar war, davon ausgehen, dass wp-config.php gelesen wurde: Datenbank-Zugangsdaten erneuern und die Website prüfen.
• Die fixe Version auf der ThemeForest-Produktseite verifizieren, da keine Herstellermeldung gefunden wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Nuclei template churchope-lfi.yaml github.com
• WPScan vulnerability entry wpscan.com
• VulnCheck advisory www.vulncheck.com
• OpenCVE CVE-2014-125134 app.opencve.io
• VulDB 423012 vuldb.com
• Vulners NVD:CVE-2014-125134 vulners.com
• Exploit-Intel CVE-2014-125134 exploit-intel.com
• Packet Storm files 129706 packetstorm.news

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:26.