Uminex WordPress-Theme: Local File Inclusion
Zusammenfassung
Das WordPress-Theme Uminex bis einschliesslich Version 1.0.9 enthält eine Local File Inclusion-Schwachstelle (CWE-98). Ein nicht authentifizierter Angreifer kann den Webserver dazu bringen, beliebige lokale Dateien zu laden, wodurch sensible Serverdaten offengelegt werden können und bei einer eingebundenen PHP-Datei Codeausführung möglich ist. Für den Angriff genügt Netzwerkzugriff auf die Website ohne Login, die Angriffskomplexität wird jedoch als hoch bewertet.
Betroffen
- WordPress-Theme Uminex, Versionen bis und mit 1.0.9
- Standardkonfiguration: nicht betroffen (gemäss CNA-Daten)
Behoben in
Unbekannt.
- Kein Herstellerfix oder Advisory gefunden.
- Patchstack meldet «No official patch available».
- Ein Wiederverkäufer listet einen Build 1.1.9, dies ist jedoch nicht verifiziert und darf nicht als Fix betrachtet werden.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Patchstack bietet für diese Schwachstelle einen virtuellen Patch (Mitigationsregel) an; fragen Sie Ihren Hoster oder Patchstack, ob dieser für Ihre Website gilt.
Ausnutzung
- CISA SSVC (Vulnrichment): Exploitation none, Automatable no, Technical Impact total.
- Von den geprüften Quellen nicht als aktiv ausgenutzt markiert.
- Bis 1. Nov 2026 kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0.003 (Momentaufnahme der Bewertung).
- Patchstack stuft die Priorität als hoch ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen Sie, ob das Uminex-Theme auf einer öffentlichen Website installiert oder aktiv ist.
- Wenn es nicht verwendet wird, entfernen Sie es und verwenden Sie ein anderes Theme.
- Falls es im Einsatz ist, fragen Sie beim Hersteller oder bei Patchstack nach einer korrigierten Version und aktivieren Sie in der Zwischenzeit eine WAF oder einen virtuellen Patch.
- Halten Sie ein geprüftes Backup bereit und überwachen Sie die Webserver-Logs auf ungewöhnliche Dateizugriffe.
- Prüfen Sie vor jedem Patchzyklus auf Updates.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CVE record vulners.com
- OpenCVE CVE record app.opencve.io
- HOL Guard CVE entry hol.org
- Vulners Patchstack copy vulners.com
- ThemeForest product page themeforest.net
- Armour Infosec LFI guide github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.