Cardea WordPress-Theme: Nicht authentifizierte Local File Inclusion

Zusammenfassung

Das WordPress-Theme Cardea bis und mit Version 2.3 enthält eine nicht authentifizierte Local File Inclusion-Schwachstelle (CWE-98). Ein Angreifer ohne Login kann die Website dazu bringen, Dateien vom Server zu laden, die nicht offengelegt werden sollten, was beispielsweise Datenbank-Zugangsdaten preisgeben kann. Unter bestimmten Voraussetzungen kann dies zu einer Codeausführung oder der vollständigen Übernahme der Website eskalieren; Patchstack stuft das Problem als hohe Priorität ein und erwartet eine baldige Ausnutzung.

Betroffen

• Cardea WordPress-Theme, Versionen bis und mit 2.3
• Hersteller: CocoBasic (verkauft über ThemeForest)

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde kein Herstellerpatch oder keine korrigierte Version veröffentlicht.

Umgehung

• Keine Workaround des Herstellers veröffentlicht.
• Theme deaktivieren und entfernen, falls es nicht benötigt wird.
• Virtuelles Patching über eine WAF anwenden, falls verfügbar; Patchstack hat eine Schutzregel veröffentlicht.

Ausnutzung

• Nicht im CISA-KEV-Katalog; CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden; zum Zeitpunkt der Erstellung keine bekannte Ausnutzung in freier Wildbahn.
• EPSS 0.00338 (sehr niedrig).

Unsere Empfehlung

• Prüfen, ob das Cardea-Theme auf einer WordPress-Website installiert ist, auch bei Websites, die von Agenturen betreut werden, und die Version bestätigen.
• Falls installiert und nicht benötigt, Theme deaktivieren und entfernen.
• Falls es verbleiben muss, eine WAF oder die Schutzregel von Patchstack anwenden und Webserver-Logs auf Dateipfad-Parameter und Anfragen an das Theme überwachen.
• Website auf unerwartete Dateien prüfen und klären, ob auf dem Server gespeicherte Zugangsdaten erneuert werden müssen.
• Patchstack-Seite und CocoBasic auf eine korrigierte Version beobachten und sofort aktualisieren, sobald eine verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-62065 patchstack.com
• OpenCVE CVE-2026-62065 app.opencve.io
• Vulners RAPID7:CVE-2026-62065 vulners.com
• HOL Guard CVE-2026-62065 hol.org
• ThemeForest Cardea theme page themeforest.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:05.