WooThemes Diarise: Unauthentifizierte lokale Dateioffenlegung über download.php
Zusammenfassung
WooThemes Diarise, ein WordPress-Theme, enthält eine Schwachstelle zum Lesen von Dateien über den Parameter calendar in download.php. Ein nicht authentifizierter Angreifer kann mit manipulierten GET-Anfragen mit file://-Pfaden beliebige Dateien auf dem Server lesen, etwa /etc/passwd. Für die Ausnutzung ist kein Login nötig, und der Hersteller hat keine Korrektur veröffentlicht.
Betroffen
- WooThemes Diarise bis Version 1.5.9
- Einzelne Quellen nennen nur 1.5.0 bis 1.5.9
Behoben in
Unbekannt. Keine korrigierte Version oder Herstellerhinweis gefunden.
Umgehung
- Kein vom Hersteller bereitgestellter Workaround gefunden.
- Externen Zugriff auf download.php des Themes auf dem Webserver oder im WAF als Übergangsmassnahme blockieren.
Ausnutzung
- Ausnutzung wurde erstmals am 2023-10-19 von der Shadowserver Foundation beobachtet.
- Öffentliche Proof-of-Concept-Einträge und eine Nuclei-Erkennungsvorlage existieren.
- Die Quellen widersprechen sich bezüglich des KEV-Status: Exploit-Intel führt einen VulnCheck-KEV-Eintrag, HOL meldet keine Kennzeichnung als aktiv ausgenutzt. Der CISA-KEV-Katalog konnte nicht überprüft werden.
- VulDB gibt an, dass kein Exploit verfügbar ist, was den öffentlichen Einträgen widerspricht.
Unsere Empfehlung
- Alle WordPress-Seiten auf das Diarise-Theme prüfen, einschliesslich Child-Themes und nicht lizenzierter Kopien.
- Das nicht mehr unterstützte Theme durch ein gepflegtes ersetzen.
- Bis zum Austausch den externen Zugriff auf download.php blockieren und Webserver-Logs auf Anfragen mit file://-Pfaden oder ungewöhnlichen calendar-Parametern prüfen.
- Bei bestätigter Exposition prüfen, ob sensible Dateien wie wp-config.php gelesen wurden, und Zugangsdaten rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Nuclei template diarise-theme-lfi.yaml github.com
- Packet Storm 152773 packetstorm.news
- CXSecurity WLB-2019050123 cxsecurity.com
- Exploit-Intel CVE-2019-25779 exploit-intel.com
- VulDB 425255 vuldb.com
- HOL CVE-2019-25779 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:53.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.