CVE-2026-39611

WysokieCVSS 7.5

Opublikowano: 08/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Motyw KuteShop dla WordPressa zawiera podatność na lokalne dołączanie plików PHP (LFI) poprzez niekontrolowaną nazwę pliku w instrukcji include/require. Atakujący może odczytać dowolne pliki na serwerze.

Ocena ryzyka

Ryzyko obejmuje możliwość odczytu wrażliwych danych, takich jak pliki konfiguracyjne, co może prowadzić do eskalacji uprawnień.

Rekomendacja

Zaleca się aktualizację motywu KuteShop do wersji nowszej niż 4.2.9 lub zastosowanie tymczasowych reguł blokujących.

Inne podatności w KuteShop

CVE-2026-39612Średnie
Motyw KuteShop dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 4.2.9 włącznie.

Oryginalny opis (angielski, źródło NVD)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in kutethemes KuteShop kuteshop allows PHP Local File Inclusion.This issue affects KuteShop: from n/a through <= 4.2.9.