KuteShop WordPress-Theme: Local File Inclusion ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme KuteShop bis und mit Version 4.2.9 enthält eine Local File Inclusion-Schwachstelle (CWE-98), die ohne Authentifizierung ausnutzbar ist. Ein Angreifer ohne Login kann die Website dazu bringen, Serverdateien zu laden, auf die sie nicht zugreifen sollte; dadurch können sensible Dateien wie wp-config.php offengelegt werden und unter Umständen eine Übernahme möglich werden. Der CVSS-Vektor geht von hoher Angriffskomplexität aus, weshalb bestimmte Voraussetzungen nötig sind, die in den Quellen nicht dokumentiert sind. Es wurde weder eine korrigierte Version noch eine Herstellermeldung gefunden, und der Supportstatus des Herstellers ist unbekannt.
Betroffen
- WordPress-Theme KuteShop, Versionen bis und mit 4.2.9
- Verwandte Einträge unter CVE-2026-39611 für dasselbe Produkt und dieselben Versionen; unklar, ob es sich um Duplikate handelt
Behoben in
Unbekannt.
- Keine korrigierte Version und keine Herstellermeldung gefunden
Umgehung
- Theme deaktivieren und entfernen, wenn es nicht aktiv genutzt wird
- Falls es verbleiben muss, Zugriff auf Webserver- oder WAF-Ebene einschränken und Logs auf Anfragen mit Dateipfad-Parametern überwachen
- Keine herstellerspezifische WAF-Regel bekannt
Ausnutzung
- Bekannt ausgenutzt: nein
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total
- Kein öffentlicher Proof of Concept gefunden
- Patchstack meldet, dass eine Mitigationsregel verfügbar ist
Unsere Empfehlung
- Alle WordPress-Websites auf das Theme KuteShop und die genaue Version prüfen; 4.2.9 und ältere Versionen als verwundbar behandeln
- Theme entfernen oder deaktivieren, wo es nicht benötigt wird
- Aus dem Internet erreichbare Websites über eine WAF absichern und Logs auf Dateipfad-Parameter überwachen
- Dateien, die der Webserver lesen kann, als möglicherweise offengelegt annehmen; Zugriffslogs prüfen und bei Verdacht auf Offenlegung Datenbank- und API-Zugangsdaten rotieren
- Bei kutethemes oder ThemeForest eine korrigierte Version anfragen und die Patchstack-Seite auf Updates prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability record patchstack.com
- OpenCVE CVE-2026-62115 app.opencve.io
- VulDB CVE-2026-62115 vuldb.com
- Vulners CVE-2026-62115 vulners.com
- Vulners Patchstack record vulners.com
- KuteShop on ThemeForest themeforest.net
- OpenCVE CVE-2026-39611 (related record) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.