Teoro WordPress-Theme: Unauthentifizierte Local File Inclusion
Zusammenfassung
Das WordPress-Theme Teoro bis und mit Version 1.1 enthält eine Local File Inclusion Schwachstelle (CWE-98). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die Website dazu bringen, serverseitige Dateien zu laden, auf die sie keinen Zugriff haben sollte. Dadurch können sensible Daten offengelegt und in einzelnen Fällen die gesamte Website übernommen werden. Das Risiko ist für jede öffentlich erreichbare Website mit diesem Theme hoch, und illegal verbreitete Kopien (Raubkopien) könnten ungepatcht sein.
Betroffen
- WordPress-Theme Teoro, Versionen bis und mit 1.1
- Hersteller: CocoBasic (kommerzielles Theme, verkauft über ThemeForest)
Behoben in
Unbekannt. Es wurde keine Sicherheitsmitteilung des Herstellers gefunden. Eine Drittquelle führt Version 1.2 als aktuell, dies ist jedoch nicht als Korrektur bestätigt.
Umgehung
- Falls ein sofortiges Update nicht möglich ist, das Theme Teoro deaktivieren und auf ein unterstütztes Theme wechseln.
- Produktions-, Staging- und Backup-Umgebungen auf das Theme prüfen, einschliesslich Child-Themes.
Ausnutzung
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC (Vulnrichment): Exploitation none, automatisierbar nein, technische Auswirkung total.
- EPSS-Wert 0.00338.
- Kein öffentlicher Proof of Concept gefunden. Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Websites auf das Theme Teoro prüfen, einschliesslich Child-Themes und Staging-Systemen.
- Falls Teoro gefunden wird, das Theme deaktivieren und bis zur vom Hersteller bestätigten korrigierten Version durch ein unterstütztes Theme ersetzen.
- Jede illegal verbreitete Kopie durch eine legal lizenzierte Version ersetzen.
- Den Patchstack-Eintrag und den Hersteller (CocoBasic) auf eine offizielle Mitteilung und einen Patch überwachen.
- Webserver-Logs auf Anfragen an ungewöhnliche Dateipfade prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: Teoro theme local file inclusion vulnerability patchstack.com
- OpenCVE: CVE-2026-62068 app.opencve.io
- Vulners: RAPID7:CVE-2026-62068 vulners.com
- HOL Guard: CVE-2026-62068 hol.org
- Strix: CVE-2026-62068 www.strix.ai
- ThemeForest: Teoro CV Resume WordPress Theme themeforest.net
- ThemeDetect: Teoro-WP www.themedetect.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.