YOOtheme Pro: Unauthentifizierte Remote Code Execution über Bildtransformations-Handler

Zusammenfassung

Laut CVE-Eintrag bindet der öffentlich erreichbare Bildtransformations-Handler von YOOtheme Pro in den Versionen 5.0.0 bis 5.0.52, wie er in der Joomla-Erweiterung eingesetzt wird, Bildoperationen und Ausgabeziel nur unvollständig an die Signatur der Anfrage. Ein nicht angemeldeter Angreifer kann eine Signatur aus einer öffentlichen Bild-URL wiederverwenden, zusätzliche Operationen einschleusen, aus dem Cache-Verzeichnis ausbrechen und ein PNG/PHP-Polyglot in ein ausführbares öffentliches Medienverzeichnis schreiben, was Remote Code Execution ermöglicht. Auswirkungen auf WordPress werden von Dritten gemeldet, sind vom Hersteller jedoch nicht bestätigt. Der CVSS-4.0-Basiswert beträgt 10.0 (kritisch).

Betroffen

• YOOtheme Pro 5.0.0 bis 5.0.52 (verifizierte Obergrenze; einige Tracker nennen 5.0.55, was der Hersteller nicht bestätigt hat)
• YOOtheme Pro 4 und älter: laut Hersteller nicht betroffen

Behoben in

• Aktualisierung auf YOOtheme Pro 5.0.53 (veröffentlicht am 21. Oktober 2026)

Umgehung

Unbekannt. Der Hersteller hat keine Workaround veröffentlicht; das Aktualisieren ist die einzige Behebung.

• Kompensierende Massnahmen Dritter (sie beheben die Schwachstelle nicht): externen Zugriff auf den Bild-Handler einschränken, PHP-Ausführung in öffentlichen Medien- und Bild-Cache-Verzeichnissen deaktivieren und Schreibrechte im Dateisystem verschärfen.
• Vorgängig testen, da das Blockieren des Handlers die Bilddarstellung auf der Website stören kann.

Ausnutzung

• Für die Schwachstelle existiert ein öffentlicher Proof-of-Concept-Exploit auf GitHub; wir haben ihn nicht verifiziert.
• Security Online meldet, dass Palo Alto Networks Unit 42 ab dem 26. Oktober 2026 Angriffe bestätigt habe, einschliesslich des Ablegens von Webshells. Dies ist nicht unabhängig bestätigt.
• Während unserer Recherche wurde kein Eintrag als bekanntermassen ausgenutzt im CISA KEV gefunden.

Unsere Empfehlung

• Alle YOOtheme-Pro-Installationen inventarisieren, einschliesslich der Joomla-Template- und Systemplugin-Einträge, die gemeinsam aktualisiert werden.
• Alle Installationen von 5.0.0 bis 5.0.52 umgehend auf 5.0.53 aktualisieren.
• Upload- und Medienverzeichnisse auf unerwartete PHP- oder Bilddateien prüfen und die Webserver-Logs vor der Aktualisierung auf Anfragen an den Bild-Handler durchsehen. Jeden Treffer als mögliche Kompromittierung behandeln: Zugangsdaten rotieren und eine saubere Neuinstallation in Betracht ziehen.
• Den NVD-Eintrag überwachen, der zum Zeitpunkt der Recherche noch auf Analyse wartete.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  antid00t/CVE-2026-102785 · al4n4n/CVE-2026-102785

Quellen der Recherche

• YOOtheme Changelog yootheme.com
• mySites.guru YOOtheme vulnerability details mysites.guru
• CVE record data (threatint) cve.threatint.com
• VulDB entry 425294 vuldb.com
• Security Online exploitation report securityonline.info
• Public PoC repository (GitHub) github.com
• Asenka YOOtheme Image Guard scanner github.com
• db8 blog: critical security updates for YOOtheme Pro db8.nl

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:03.