Javo Spot WordPress Theme: Path Traversal ermöglicht das Lesen beliebiger Dateien
Zusammenfassung
Das WordPress-Theme Javo Spot vor 3.0.0 enthält eine Path-Traversal-Schwachstelle in der AJAX-Aktion jvfrm_spot_get_json. Ein nicht authentifizierter Angreifer kann über den Parameter fn beliebige Dateien lesen, auf die der Webserver Zugriff hat, etwa wp-config.php mit Datenbank-Zugangsdaten und geheimen Schlüsseln. Für die Ausnutzung genügt ein GET-Request an admin-ajax.php, und es existieren öffentlich verfügbarer Proof-of-Concept-Code sowie ein Nuclei-Erkennungstemplate.
Betroffen
- WordPress-Theme Javo Spot, alle Versionen vor 3.0.0
Behoben in
- Javo Spot 3.0.0 (laut WPScan und VulDB; kein Sicherheitshinweis von Javo Themes gefunden)
Umgehung
- Deaktivierung der AJAX-Aktion jvfrm_spot_get_json per Code-Snippet, das vom ursprünglichen Forscher beschrieben wurde (nicht verifiziert; zuerst auf einem Staging-System testen)
- Weitere Massnahmen wie WAF-Regeln: Unbekannt.
Ausnutzung
- Ausnutzung wurde erstmals am 2023-10-19 von der Shadowserver Foundation beobachtet.
- Ein öffentlicher Proof of Concept und ein Nuclei-Erkennungstemplate sind verfügbar.
- CISA SSVC: Exploitation poc, automatisierbar ja.
- Die Aufnahme in die KEV-Kataloge von CISA oder VulnCheck ist in den Quellen widersprüchlich: Unbekannt, bis verifiziert.
Unsere Empfehlung
- WordPress-Installationen auf das Theme Javo Spot prüfen und die installierte Version kontrollieren.
- Auf 3.0.0 oder neuer aktualisieren oder das Theme entfernen, falls es nicht genutzt wird.
- Kann eine Seite nicht sofort aktualisiert werden, eine getestete Workaround-Massnahme anwenden und den Zugriff auf admin-ajax.php nach Möglichkeit einschränken.
- War eine verwundbare Seite exponiert, Datenbank-Zugangsdaten sowie WordPress-Salts und -Schlüssel erneuern.
- Webserver-Logs auf Requests an admin-ajax.php mit der Aktion jvfrm_spot_get_json prüfen, insbesondere seit dem 2023-10-19.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Original research post by codeseekah codeseekah.com
- WPScan vulnerability entry wpscan.com
- VulnCheck advisory www.vulncheck.com
- Nuclei detection template github.com
- ThemeForest product page themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:54.
Referenzen der NVD (6)
- https://codeseekah.com/2017/02/09/javo-themes-spot-lfi-vulnerability/
- https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/wordpress/wp-javospot-lfi…
- https://themeforest.net/item/javo-spot-multi-purpose-directory-wordpress-theme/13198068
- https://wpscan.com/vulnerability/2d465fc4-d4fa-43bb-9c0d-71dcc3ee4eab
- https://www.vulncheck.com/advisories/javo-spot-wordpress-theme-3.0.0-path-traversal-via-admin-ajax-php-fn-par…
- https://wpscan.com/vulnerability/2d465fc4-d4fa-43bb-9c0d-71dcc3ee4eab/
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.