TouchUp WordPress-Theme: Unauthentifizierte lokale Dateieinbindung
Zusammenfassung
Das WordPress-Theme TouchUp vor Version 1.4 enthält eine lokale Dateieinbindung (CWE-98), die ohne Authentifizierung ausgenutzt werden kann. Ein Angreifer kann die Website dazu bringen, Serverdateien zu laden, auf die sie nicht zugreifen sollte, was in einzelnen Fällen zu einer vollständigen Übernahme führen kann. Die Ausnutzung erfordert eine hohe Komplexität (CVSS AC:H), und das Theme muss auf der öffentlichen Website installiert sein.
Betroffen
- WordPress-Theme TouchUp Versionen unter 1.4
- Aktuelle Version gemäss Changelog des Herstellers: 1.6
Behoben in
- Version 1.4 oder neuer gemäss Patchstack und CVE-Eintrag; die aktuelle Version ist 1.6
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Falls ein Update nicht sofort möglich ist, kann der Website-Betreiber das Theme deaktivieren, sofern es nicht verwendet wird, oder den öffentlichen Zugriff auf die Website einschränken, bis sie gepatcht ist.
Ausnutzung
- Keine bekannte Ausnutzung (CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung).
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, ob öffentliche WordPress-Websites das Theme TouchUp verwenden, insbesondere Praxis- oder Klinik-Websites.
- Aktualisieren Sie TouchUp auf Version 1.6 (mindestens 1.4) und stellen Sie sicher, dass WordPress Core aktuell ist.
- Prüfen Sie die Webserver-Logs auf ungewöhnliche Dateiparameter und überwachen Sie die Systeme auf weitere Aktivitäten.
- Falls das Theme nicht verwendet wird, entfernen Sie es.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: TouchUp theme < 1.4 Local File Inclusion patchstack.com
- Vulners Patchstack entry PATCHSTACK:1D1DB8C1A034E952D5C1D3772DD1F67B vulners.com
- Strix CVE-2026-62020 www.strix.ai
- HOL Guard CVE-2026-62020 hol.org
- OpenCVE CVE-2026-62020 app.opencve.io
- ThemeForest TouchUp theme page themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.