WordPress The Voux: Local File Inclusion в версиях до 6.9.5 (CVE-2026-94067)
В WordPress-теме The Voux от Fuelthemes обнаружена уязвимость Local File Inclusion с оценкой CVSS 8.1 (HIGH). Проблема затрагивает все версии темы вплоть до 6.9.5 включительно. Эксплуатация может позволить злоумышленнику читать локальные файлы сервера и потенциально привести к полной компрометации сайта.
Подробности
The Voux — коммерческая тема для WordPress, используемая преимущественно новостными, журнальными и контентными проектами. Согласно записи CVE, уязвимость относится к категории «Improper Control of Filename for Include/Require Statement in PHP Program» (CWE-98) и реализуется через директиву include/require в PHP-коде темы (пакет thevoux-wp). Уязвимы все версии The Voux от n/a до 6.9.5 включительно — то есть исправленная версия на момент публикации записи не указана, что делает проблему особенно актуальной для администраторов, не отслеживающих обновления темы. Технически LFI позволяет атакующему передать в параметр, участвующий в формировании пути к подключаемому файлу, специально сконструированное значение. Это даёт возможность читать произвольные локальные файлы веб-сервера: конфигурационные файлы, включая wp-config.php с учётными данными базы данных, системные файлы, логи, а в ряде конфигураций — комбинировать LFI с другими техниками (например, log poisoning) для достижения удалённого выполнения кода. Оценка CVSS 8.1 (HIGH) отражает высокую степень риска: успешная эксплуатация может привести к утечке чувствительных данных, повышению привилегий и полной компрометации сайта. Для эксплуатации, как правило, не требуется аутентификация — достаточно доступа к уязвимому эндпоинту темы, что расширяет поверхность атаки до любого внешнего злоумышленника.Что делать
Рекомендации для владельцев сайтов на WordPress с установленной темой The Voux:- Проверить текущую версию темы. Если она 6.9.5 или ниже — считать сайт уязвимым.
- Отслеживать официальный релиз Fuelthemes и установить обновление сразу после его публикации. Автоматические обновления темы желательно включить.
- Если обновления ещё нет — рассмотреть временные митигации: ограничить доступ к уязвимым эндпоинтам темы средствами WAF (правила для блокировки попыток path traversal и подозрительных значений параметров), а также усилить мониторинг логов веб-сервера на предмет обращений с конструкциями вида
../,php://filterи абсолютными путями. - Провести аудит сайта на предмет признаков компрометации: необычные файлы в директориях темы, изменения в wp-config.php, подозрительные задачи cron, аномальные исходящие соединения.
- В случае выявления следов эксплуатации — сменить все пароли (включая БД), ротировать секретные ключи WordPress (salt-константы) и, при необходимости, восстановить сайт из чистой резервной копии.
Итог
CVE-2026-94067 — серьёзная уязвимость уровня HIGH в теме The Voux для WordPress. Отсутствие исправленной версии на момент публикации записи CVE означает, что администраторам необходимо в первую очередь применить митигации на уровне WAF и мониторинга, а затем незамедлительно обновиться, как только разработчик выпустит патч. Учитывая популярность темы среди контентных проектов, риск массовых атак реален, и промедление с реакцией может обернуться утечкой данных или полной компрометацией ресурса.Источник: CVE Project (cvelistV5)