CleanSkin WordPress-Theme: Local File Inclusion ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme CleanSkin bis und mit Version 1.5.0 enthält eine Local File Inclusion-Schwachstelle (CWE-98). Ein nicht authentifizierter Angreifer über das Netzwerk kann die Website dazu bringen, Dateien vom Server zu laden, auf die sie nicht zugreifen sollte; dies kann sensible Daten offenlegen und in einzelnen Fällen zur Übernahme der Website führen. Die Schwachstelle ist ohne Login erreichbar, die Angriffskomplexität wird jedoch als hoch eingestuft.
Betroffen
- WordPress-Theme CleanSkin, Versionen 1.5.0 und älter
- Hersteller: AncoraThemes (verkauft über ThemeForest)
Behoben in
Unbekannt. Kein Herstellerhinweis oder Changelog bestätigt eine korrigierte Version. Das ThemeForest-Angebot zeigt Version 1.6.8, dies ist jedoch nicht als gepatchte Version bestätigt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Theme deaktivieren, falls es nicht aktiv genutzt wird.
- Bei AncoraThemes einen gepatchten Build und eine schriftliche Bestätigung anfordern.
- Eine WAF oder ein Virtual Patch kann das Risiko senken; eine konkrete Regel wurde nicht verifiziert.
Ausnutzung
- Nicht bekannt, ob die Schwachstelle aktiv ausgenutzt wird.
- CISA SSVC (ADP): Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0.0034 zum Zeitpunkt der Recherche.
Unsere Empfehlung
- Prüfen, ob CleanSkin auf öffentlich erreichbaren WordPress-Websites installiert ist, einschliesslich alter oder inoffizieller Kopien.
- Falls im Einsatz: Theme deaktivieren oder durch ein gewartetes Theme ersetzen, bis eine korrigierte Version bestätigt ist.
- Die korrigierte Version schriftlich bei AncoraThemes oder im Patchstack-Hinweis bestätigen lassen.
- Webserver-Logs auf ungewöhnliche Anfragen an das Theme prüfen und Backups bereithalten.
- Auf Berichte über Ausnutzung, einen öffentlichen PoC und NVD-Aktualisierungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-42724 app.opencve.io
- Vulners RAPID7 CVE-2026-42724 vulners.com
- Vulners Patchstack advisory vulners.com
- HOL Guard CVE-2026-42724 hol.org
- ThemeForest CleanSkin listing themeforest.net
- ThreatInt CVE-2026-42724 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.