Volos WordPress-Theme: Unauthentifizierte Local File Inclusion
Zusammenfassung
Das WordPress-Theme Volos bis Version 1.2 enthält eine unauthentifizierte Local File Inclusion-Schwachstelle. Ein entfernter Angreifer ohne Konto kann die Website dazu bringen, lokale Serverdateien zu laden, wodurch sensible Dateien wie Konfigurationsdateien mit Datenbank-Zugangsdaten offengelegt werden können und im Extremfall eine vollständige Übernahme möglich ist. Die Ausnutzung erfordert eine hohe Angriffskomplexität, es wurde kein öffentlicher Proof of Concept gefunden, und CISA stuft die Ausnutzung bisher als none ein.
Betroffen
- WordPress-Theme Volos, Versionen 1.2 und älter
- Die Zuordnung zum ThemeForest-Eintrag von CocoBasic ist abgeleitet und sollte durch Prüfung des installierten Theme-Ordners (volos-wp) und des Autors bestätigt werden
Behoben in
Unbekannt. Es wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden.
Umgehung
- Falls keine korrigierte Version verfügbar ist, das Theme Volos deaktivieren oder entfernen
- Eine WAF- oder Patchstack-Mitigationsregel kann das Risiko senken, es wurde jedoch keine vom Hersteller validierte Regel gefunden
Ausnutzung
- Der Angriffsvektor ist netzwerkbasiert, erfordert keine Berechtigungen und keine Benutzerinteraktion, hat jedoch eine hohe Angriffskomplexität
- CISA SSVC: Ausnutzung none, nicht automatisierbar
- Kein öffentlicher Proof of Concept gefunden; in den geprüften Quellen nicht als aktiv ausgenutzt gelistet
- EPSS 0.00338 (sehr niedrig)
Unsere Empfehlung
- WordPress-Websites auf das Theme Volos prüfen (Ordner volos-wp oder volos-wp-child)
- Falls vorhanden, insbesondere bei internetexponierten Websites, das Theme deaktivieren oder ersetzen, sofern CocoBasic keine korrigierte Version veröffentlicht
- Changelog des Herstellers und die Patchstack-Seite auf Updates prüfen
- WordPress-Core sowie andere Plugins und Themes aktuell halten
- Webserver-Logs auf Versuche von File Inclusion überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-62066 app.opencve.io
- Vulners RAPID7 record vulners.com
- HOL Guard CVE-2026-62066 hol.org
- ThemeForest Volos item themeforest.net
- CocoBasic support article cocobasic.ticksy.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.