CVE-2026-39611
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Motyw KuteShop dla WordPressa zawiera podatność na lokalne dołączanie plików PHP (LFI) poprzez niekontrolowaną nazwę pliku w instrukcji include/require. Atakujący może odczytać dowolne pliki na serwerze.
Ocena ryzyka
Ryzyko obejmuje możliwość odczytu wrażliwych danych, takich jak pliki konfiguracyjne, co może prowadzić do eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację motywu KuteShop do wersji nowszej niż 4.2.9 lub zastosowanie tymczasowych reguł blokujących.
Inne podatności w KuteShop
Zobacz wszystkie- CVE-2026-62115Wysokie
Motyw KuteShop w wersjach do 4.2.9 włącznie jest podatny na lokalne włączenie pliku (Local File Inclusion) możliwe do wykorzystania bez uwierzytelnienia. Atakujący może wczytać pliki z serwera.
- CVE-2026-62100Wysokie
Motyw KuteShop w wersjach do 4.2.9 włącznie zawiera lukę Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Umożliwia ona wstrzyknięcie złośliwego skryptu do stron serwisu.
- CVE-2026-39612Średnie
Motyw KuteShop dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 4.2.9 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in kutethemes KuteShop kuteshop allows PHP Local File Inclusion.This issue affects KuteShop: from n/a through <= 4.2.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS