Academist Core WordPress-Plugin: Local File Inclusion

Zusammenfassung

Das WordPress-Plugin Academist Core bis und mit Version 1.4.1 enthält eine Local File Inclusion-Schwachstelle (CWE-98). Ein Angreifer kann die Website dazu bringen, Serverdateien zu laden, die sie nicht laden dürfte, was bis zur vollständigen Übernahme der Website führen kann. Die Schwachstelle ist über das Netzwerk erreichbar und erfordert weder Anmeldung noch Benutzerinteraktion, die Angriffskomplexität wird jedoch als hoch eingestuft.

Betroffen

• Elated-Themes Academist Core WordPress-Plugin, Versionen bis und mit 1.4.1 (gemeldeter Bereich: from n/a through 1.4.1)

Behoben in

Unbekannt. In den geprüften Quellen wurde keine korrigierte Version gefunden, und es wurde keine Herstellerwarnung gefunden.

Umgehung

• Es ist keine vom Hersteller bestätigte Massnahme verfügbar.
• Das Plugin deaktivieren und entfernen, falls seine Kursfunktionen nicht benötigt werden.
• Virtual Patching über eine Web Application Firewall oder den Mitigation-Dienst von Patchstack prüfen.
• Web-Server- und PHP-Logs auf ungewöhnliche Dateiparameter prüfen.
• Dateiberechtigungen und PHP-Einstellungen einschränken, zum Beispiel allow_url_include deaktiviert lassen und open_basedir einsetzen, wo möglich.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als no.
• Es wurde kein öffentlicher Proof-of-Concept-Code gefunden, was eine Ausnutzung jedoch nicht ausschliesst.
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; Patchstack hat eine Mitigation-Regel veröffentlicht.

Unsere Empfehlung

• Alle Kundenwebsites auf das Plugin Academist Core und dessen Version prüfen.
• Aus dem Internet erreichbare Websites, auf denen das Plugin installiert ist, priorisieren.
• Das Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
• Virtual Patching oder die Mitigation von Patchstack anwenden, bis ein offizielles und getestetes Update verfügbar ist.
• Den Changelog des Plugins und die Herstellerseite auf eine korrigierte Version überwachen und nach deren Veröffentlichung umgehend aktualisieren.
• Logs auf ungewöhnliche Dateiparameter überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• HOL Install Guard hol.org
• VulDB vuldb.com
• Strix CVE record www.strix.ai
• INCIBE-CERT early warning www.incibe.es
• CVE threat aggregator cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:07.