Flipmart WordPress-Theme: Nicht authentifizierte Local File Inclusion

Zusammenfassung

Das WordPress-Theme Flipmart bis und mit Version 2.8 enthält eine Local File Inclusion-Schwachstelle. Ein nicht authentifizierter Angreifer über das Netzwerk kann die Website dazu bringen, Serverdateien zu laden, auf die sie nicht zugreifen sollte, was zu Informationsabfluss und in einzelnen Fällen zur Übernahme der Website führen kann. Die Schwachstelle ist ohne Anmeldung erreichbar, daher sind alle öffentlich zugänglichen WooCommerce-Shops mit einer betroffenen Version gefährdet.

Betroffen

• Flipmart WordPress-Theme, alle Versionen bis und mit 2.8

Behoben in

• Unbekannt. Ein Herstellerpatch oder eine korrigierte Version ist nicht bestätigt.

Umgehung

• Auf eine Version neuer als 2.8 aktualisieren, sobald eine verfügbar ist.
• Falls kein Update möglich ist, das Theme deaktivieren oder dessen Verzeichnis löschen.
• Eine Web Application Firewall vor die Website schalten, die Path-Traversal-Anfragen und Anfragen an das Theme-Verzeichnis blockiert. Dies ist nur eine Übergangsmassnahme.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Nicht als in CISA KEV gelistet bestätigt; der Katalog wurde nicht direkt abgefragt.
• Kein öffentlicher Proof of Concept gefunden; Status gilt als unbekannt.
• CISA SSVC: Exploitation none, Automatable no. EPSS 0.00338.

Unsere Empfehlung

• Alle Flipmart-Installationen inventarisieren, einschliesslich inaktiver Themes, und die Version im style.css-Header prüfen.
• Flipmart 2.8 und älter auf öffentlich erreichbaren Websites nach Möglichkeit deaktivieren oder entfernen und auf ein gepflegtes Theme wechseln.
• Falls das Theme aktiv bleiben muss, die oben genannten WAF-Regeln anwenden und Webserver-Logs auf Path-Traversal-Versuche überwachen.
• Das Patchstack-Advisory und den Hersteller auf eine korrigierte Version prüfen und diese sofort einspielen, sobald sie verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• OpenCVE CVE-2026-62070 app.opencve.io
• Vulners RAPID7 CVE-2026-62070 vulners.com
• Hol.org CVE-2026-62070 hol.org
• Flipmart theme information themesinfo.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:07.