CVE-2026-0926

KritischVeröffentlicht

Prodigy Commerce <= 3.3.0 - Nicht authentifizierte lokale Dateieinbindung über parameters[template_name]

Veröffentlicht: 19.02.2026
Aktualisiert: 08.04.2026
CNA zuweisen: Wordfence
Beweise beobachtet: 29.05.2026

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

9,4 %

Niedrig · nächste 30 Tage

Perzentil: 95,2 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Das Prodigy Commerce-Plugin für WordPress ist in allen Versionen bis einschließlich 3.3.0 anfällig für Local File Inclusion über den Parameter 'parameters[template_name]'. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebige Dateien einzuschließen und zu lesen oder beliebige Dateien auf dem Server auszuführen, was die Ausführung von beliebigem PHP-Code in diesen Dateien ermöglicht. Dies kann verwendet werden, um Zugriffskontrollen zu umgehen, sensible Daten zu erlangen oder Codeausführung zu erreichen, wenn Bilder und andere „sichere“ Dateitypen hochgeladen und eingeschlossen werden können.

Quellen

CVE-2026-0926-exploitExploit
Exploit für CVE-2026-0926, der auf Local File Inclusion im Prodigy Commerce WordPress-Plugin abzielt. Ermöglicht das Lesen beliebiger Dateien auf anfälligen Servern.
Prodigy Commerce 3.3.0 - Local File InclusionExploit
Diamorphine · multiple · 29.05.2026

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.