Fuelthemes The Voux WordPress-Theme: Local File Inclusion
Zusammenfassung
Das WordPress-Theme The Voux bis und mit Version 6.9.5 enthält eine Local File Inclusion-Schwachstelle (CWE-98). Ein nicht authentifizierter Angreifer kann den Server dazu bringen, Serverdateien zu laden, auf die er keinen Zugriff haben sollte, was zu Informationsabfluss und in einzelnen Fällen zur Übernahme der Website führen kann. Der CNA bewertet das Problem mit 8.1 (High), die Ausnutzung gilt jedoch als komplex.
Betroffen
- WordPress-Theme The Voux (Paket thevoux-wp), Versionen bis und mit 6.9.5
- Untere Grenze des betroffenen Bereichs vom CNA nicht angegeben
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung hat der Hersteller keine korrigierte Version veröffentlicht.
Umgehung
- Theme auf Websites deaktivieren und entfernen, wenn es nicht aktiv benötigt wird
- Beim WAF- oder Virtual-Patching-Anbieter nachfragen, ob eine Regel diese Schwachstelle abdeckt
- Server-Logs auf ungewöhnliche Anfragen an Theme-Dateien prüfen und das Web-Root-Verzeichnis auf unerwartete Änderungen kontrollieren
Ausnutzung
- Nicht bekanntermassen aktiv ausgenutzt; nicht im CISA KEV-Katalog
- Kein öffentlicher Proof of Concept bekannt
- EPSS etwa 0.34%
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Patchstack erwartet eine Ausnutzung und stuft die Priorität als hoch ein
Unsere Empfehlung
- Alle Websites mit The Voux und deren genaue Theme-Version inventarisieren, inklusive Staging-Kopien und Child-Themes
- Öffentliche Websites mit Version 6.9.5 oder älter als hochprioritär behandeln: Mitigation anwenden oder Theme sofort deaktivieren
- Beim Hersteller die korrigierte Version anfragen und das Patchstack-Advisory verfolgen
- Nulled oder nicht lizenzierte Kopien des Themes ersetzen
- Wiederherstellbare Backups führen und Dateiberechtigungen einschränken
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CNA record vulners.com
- Vulners Patchstack record vulners.com
- VulDB entry vuldb.com
- ThemeForest product page themeforest.net
- PSIRT entry psirt.com
- CISA KEV status (GitHub issue) github.com
- Rapid7 via Vulners (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.