Mymoun Backhoe WordPress-Theme: Unauthentifizierte Local File Inclusion
Zusammenfassung
Das WordPress-Theme Backhoe in Version 2.0 und älter enthält eine unauthentifizierte Local File Inclusion-Schwachstelle (CWE-98). Ein entfernter Angreifer ohne Anmeldung kann die Website dazu bringen, Dateien vom Server zu laden, auf die sie nicht zugreifen dürfte, was zu Datenabfluss und in einzelnen Fällen zur vollständigen Übernahme der Website führen kann. Für die Ausnutzung ist keine Benutzerinteraktion nötig, die Angriffskomplexität wird jedoch als hoch eingestuft.
Betroffen
- Backhoe WordPress-Theme, Version 2.0 und älter (<= 2.0)
- Neuere Versionen: Unbekannt. Die Versionsangaben in Drittquellen widersprechen sich.
Behoben in
- Unbekannt. Weder der Hersteller noch Patchstack haben eine korrigierte Version bestätigt.
Umgehung
- Dem Hersteller und Patchstack ist kein Workaround bekannt.
- Den Zugriff auf die Website auf Ebene der Web Application Firewall einschränken, bis eine Korrektur oder ein Ersatz verfügbar ist.
- Patchstack hat für diese Schwachstelle eine Schutzregel bereitgestellt (gemäss dem Patchstack-Advisory).
Ausnutzung
- Nicht im Katalog CISA KEV gelistet.
- CISA SSVC (Vulnrichment): Ausnutzung none, automatisierbar no, technische Auswirkung total.
- EPSS-Wert: 0.00338.
- Kein öffentlicher Proof of Concept gefunden.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob eine Website das Backhoe-Theme verwendet, und die installierte Version feststellen.
- Jede aus dem Internet erreichbare Backhoe-Website als hohe Priorität behandeln.
- Die Website hinter einer Web Application Firewall betreiben oder den Zugriff einschränken, während ein Ersatz vorbereitet wird.
- Das Theme durch ein gepflegtes Alternativprodukt ersetzen, da keine Korrektur bestätigt ist.
- Webserver-Logs auf ungewöhnliche Dateizugriffe prüfen.
- Das Patchstack-Advisory und das Änderungsprotokoll des Herstellers auf ein Update überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-62075 app.opencve.io
- Vulners RAPID7 CVE-2026-62075 vulners.com
- CVE Threatint CVE-2026-62075 cve.threatint.com
- ThemeDetect Backhoe www.themedetect.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.