CVE-2026-87902
Ein nicht authentifizierter Angreifer kann bewirken, dass die Page-Template-Auflösung von `get_page_template()` eine gewählte lesbare lokale `.php`-Datei außerhalb der Verzeichnisse des aktiven Themes einbindet. Wenn die relevanten Voraussetzungen sowohl für den Server als auch für das aktive Theme erfüllt sind, kann dies zu RCE führen.
Frühwarnung: Ausnutzung beobachtet
- Ausnutzung beobachtet seit dem 22. Sept. 2026
- Noch nicht im offiziellen CISA-Katalog
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
Quelle: VulnCheck KEV · 23. Sept. 2026 23. Sept. 2026 22. Sept. 2026
CVSS-Score8.1 / 10
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HSchwachstellentyp (CWE)CWE-98
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.