Boutique: Nicht authentifizierte lokale Dateieinbindung in WordPress-Theme

Zusammenfassung

Das WordPress-Theme Boutique (Kute Fashion WooCommerce-Theme) in den Versionen bis und mit 2.3.3 enthält eine lokale Dateieinbindung (CWE-98). Ein nicht authentifizierter Angreifer kann die Website veranlassen, Serverdateien zu laden, die nicht geladen werden sollten. Dadurch können Konfigurationsdateien wie Datenbank-Zugangsdaten offengelegt werden, und es kann zu einer Übernahme der Website kommen. Patchstack stuft das Problem als hohe Priorität ein, CISA SSVC bewertet die Ausnutzung jedoch als keine, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Boutique WordPress-Theme, Versionen bis und mit 2.3.3
• Untere Grenze des betroffenen Bereichs: Unbekannt.

Behoben in

• Unbekannt. Es ist kein Herstellerfix bestätigt.

Umgehung

• Installierte Theme-Version prüfen. Jede Version 2.3.3 oder älter ist betroffen.
• Prüfen, ob es sich um eine genutzte oder raubkopierte Version handelt, und durch eine lizenzierte, gewartete Version ersetzen.
• Wenn das Theme nicht verwendet wird, deaktivieren und entfernen.
• Eine Web Application Firewall oder ein Virtual Patch anwenden, das Muster für Dateieinbindungen blockiert, sofern für diese CVE verfügbar.
• Den PHP-Dateizugriff auf dem Webserver soweit möglich einschränken und Logs auf verdächtige Parameter in Theme-Anfragen prüfen.

Ausnutzung

• Keine bekannte Ausnutzung gemeldet; nicht als aktiv ausgenutzt gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS etwa 0.0028.
• Öffentlicher Proof of Concept: keiner gefunden.
• Patchstack beschreibt das Problem als hochgefährlich und erwartet eine Ausnutzung.

Unsere Empfehlung

• Alle WordPress-Websites jetzt auf das Boutique-Theme und dessen Version prüfen.
• Die oben genannten Workarounds anwenden, bis eine korrigierte Version bestätigt ist.
• Sobald der Hersteller oder Patchstack eine korrigierte Version bestätigt, auf diese aktualisieren.
• Sicherstellen, dass Backups aktuell sind, und die Patchstack- und ThemeForest-Seiten auf ein Update überwachen.
• Webserver-Logs auf Versuche der Dateieinbindung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory: Boutique theme Local File Inclusion patchstack.com
• Vulners CVE record CVE-2026-62099 vulners.com
• Vulners Patchstack entry PATCHSTACK:01FDACE33FBDDCDF8DA4A939C2DF2B8E vulners.com
• HOL Guard CVE-2026-62099 summary hol.org
• OpenCVE CVE-2026-62099 app.opencve.io
• ThemeForest Boutique support page themeforest.net
• Boutique theme vendor page on Plugins for WP pluginsforwp.com
• VulnTitan Kute Boutique theme vulntitan.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:03.