Aalto-Theme: Nicht authentifizierte lokale Dateieinbindung
Zusammenfassung
Das Aalto-Theme für WordPress von Edge-Themes in Version 1.8 und älter enthält eine lokale Dateieinbindung (Local File Inclusion). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die Website dazu bringen, Serverdateien zu laden, auf die sie nicht zugreifen sollte. Dadurch können sensible Daten offengelegt werden, und je nach Serverkonfiguration ist eine Übernahme möglich. Es ist kein Login und keine Benutzerinteraktion nötig, die Angriffskomplexität wird jedoch als hoch eingestuft. Gefährdet sind vor allem öffentlich erreichbare Websites mit diesem Theme.
Betroffen
- Aalto-Theme für WordPress von Edge-Themes, Version 1.8 und älter (<= 1.8)
Behoben in
Unbekannt. Der Hersteller hat zum Zeitpunkt der Recherche keine korrigierte Version veröffentlicht.
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Patchstack meldet eine Schutzregel für Angriffe auf dieses Problem. Die Verfügbarkeit für diese CVE ist nicht bestätigt.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Patchstack erwartet eine Ausnutzung, dies ist jedoch nicht bestätigt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Öffentlicher Proof of Concept: unbekannt.
- EPSS etwa 0.003 (niedrig).
Unsere Empfehlung
- Prüfen Sie alle WordPress-Websites auf das Aalto-Theme, auch inaktive Themes im Theme-Verzeichnis, und dokumentieren Sie die genaue Version.
- Falls Aalto installiert ist und keine Korrektur verfügbar ist, wechseln Sie auf ein gewartetes Theme.
- Beschränken Sie den Zugriff auf Administrations- und Upload-Bereiche und halten Sie WordPress-Core und PHP aktuell.
- Setzen Sie nach Möglichkeit eine Web Application Firewall mit virtuellem Patching ein.
- Überwachen Sie den Patchstack-Eintrag und die Kanäle von Edge-Themes auf eine Korrektur.
- Prüfen Sie, ob CVE-2026-57788 ein Duplikat dieses Eintrags ist, bevor Sie darüber berichten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Aalto theme <= 1.8 Local File Inclusion patchstack.com
- OpenCVE: CVE-2026-42777 app.opencve.io
- Vulners: CVE-2026-42777 vulners.com
- Vulners: Patchstack advisory for CVE-2026-42777 vulners.com
- HOL Guard: CVE-2026-42777 hol.org
- HOL Guard: CVE-2026-57788 (possible duplicate) hol.org
- ThreatInt: CVE-2026-42777 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.