ThemeREX Ozeum: Nicht authentifizierte Local File Inclusion
Zusammenfassung
Das WordPress-Theme Ozeum, ein Theme für Kunstgalerien und Museumswebsites, enthält eine nicht authentifizierte Local File Inclusion-Schwachstelle (CWE-98). Gemäss CVE-Eintrag und Patchstack kann ein Angreifer ohne Anmeldung über das Netzwerk eine präparierte Anfrage senden und die Website dazu bringen, Serverdateien zu laden, auf die sie nicht zugreifen sollte. Dadurch können sensible Dateien wie Konfigurationsdateien mit Zugangsdaten offengelegt werden; laut Patchstack kann dies in einzelnen Fällen zu einer vollständigen Übernahme führen. Der CVSS-3.1-Basiswert beträgt 8.1, mit hoher Angriffskomplexität.
Betroffen
- WordPress-Theme Ozeum, Versionen bis und mit 1.3.0 (gemäss CVE-Eintrag und Patchstack)
- Die Dokumentation des Herstellers nennt die Versionen 1.3.4 und tiefer sowie 2.0.0; dies widerspricht dem CVE-Eintrag und ist ungeklärt.
Behoben in
Unbekannt. Für diese CVE ist keine korrigierte Version bestätigt. Patchstack nennt keinen offiziellen Patch.
Umgehung
- Unbekannt. Für diese CVE ist keine Workaround-Massnahme des Herstellers dokumentiert.
- Patchstack bietet eine Mitigationsregel (Virtual Patch), die Angriffe blockiert, bis ein offizieller Patch verfügbar ist.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
- CISA SSVC (Vulnrichment): Exploitation none, Automatable no, Technical Impact total.
- Nicht in CISA KEV aufgeführt. EPSS-Wert etwa 0.003. Kein öffentlicher Proof of Concept gefunden.
- Patchstack erwartet, dass die Schwachstelle ausgenutzt wird.
Unsere Empfehlung
- Prüfen, ob eine Website das Ozeum-Theme verwendet, und die installierte Version bestätigen.
- Falls das Theme nicht zwingend benötigt wird, deaktivieren oder ersetzen.
- Eine WAF oder einen Virtual Patch (zum Beispiel von Patchstack) aktivieren, um Angriffe zu blockieren.
- Die neueste Theme-Version des Herstellers oder von ThemeForest installieren und prüfen, dass sie über 1.3.0 und der dokumentierten Herstellerversion liegt; ThemeREX oder Patchstack fragen, welche Version diese CVE behebt.
- Webserver-Logs auf ungewöhnliche Dateipfad-Parameter prüfen und sicherstellen, dass Konfigurationsdateien nicht aus dem Webroot lesbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners (Rapid7) CVE-2026-62074 vulners.com
- OpenCVE CVE-2026-62074 app.opencve.io
- Threatint CVE-2026-62074 cve.threatint.com
- HOL Guard CVE-2026-62074 hol.org
- ThemeREX Ozeum documentation doc.themerex.net
- ThemeForest Ozeum theme themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.