Kids Care WordPress-Theme: Local File Inclusion ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Kids Care bis und mit Version 3.2.4 enthält eine Local File Inclusion-Schwachstelle (CWE-98) ohne Authentifizierung. Ein Angreifer aus dem Netz kann den Webserver dazu bringen, lokale Dateien zu laden, die nicht zugänglich sein sollten, was sensible Daten offenlegen und im schlimmsten Fall zur Übernahme der Website führen kann. Für den Angriff ist kein Login nötig, die Angriffskomplexität wird jedoch als hoch eingestuft. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, während die CISA-Bewertung derzeit keine bekannte Ausnutzung ausweist.
Betroffen
- Kids Care WordPress-Theme von AxiomThemes, Versionen bis und mit 3.2.4
Behoben in
- Unbekannt. Es wurde keine Herstellerwarnung gefunden, die eine korrigierte Version nennt.
Umgehung
- Dem Hersteller ist keine veröffentlichte Umgehungsmassnahme bekannt.
- Patchstack meldet eine Schutzregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist (erfordert ein Patchstack-Abonnement).
Ausnutzung
- Bekannt ausgenutzt: nein (gemäss den geprüften Quellen).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: keiner gefunden; dies beweist nicht, dass keiner existiert.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen Sie, ob das Kids Care-Theme auf einer Website installiert ist, auch als inaktives Theme.
- Ist es installiert und nicht in Gebrauch, entfernen Sie es.
- Ist es in Gebrauch, aktualisieren Sie auf die neueste Version von ThemeForest und prüfen Sie das Changelog, oder wenden Sie eine virtuelle Korrektur bzw. eine Schutzregel über Ihre WAF oder Ihr Sicherheitsplugin an.
- Prüfen Sie die Webserver-Logs auf ungewöhnliche Anfragen an Theme-Dateien und kontrollieren Sie, dass der Webserver keine sensiblen Dateien lesen kann.
- Besteht ein Verdacht auf Kompromittierung, rotieren Sie die Datenbank- und Applikationszugangsdaten.
- Halten Sie den WordPress-Core aktuell (bestätigen Sie WordPress 7.1.2 oder neuer für CVE-2026-87902).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-42704 patchstack.com
- OpenCVE CVE-2026-42704 app.opencve.io
- Vulners CVE-2026-42704 vulners.com
- Vulners Patchstack PATCHSTACK:D719FB9F31594CE9D8A54C534AF5DFA2 vulners.com
- Positive Technologies PT-2026-109772 vulners.com
- Third-party tracker CVE-2026-42704 hol.org
- ThemeForest Kids Care product page themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.