CVE-2026-28015
Publiée le 2026-03-05 · Dernière modification le 2026-06-17
Le thème WordPress ThemeREX ShiftCV (version 3.0.14 et versions antérieures) contient une faille qui permet à un attaquant non authentifié d'inclure et d'exécuter des fichiers locaux sur votre serveur. En envoyant une requête réseau spécifiquement conçue, un acteur distant pourrait potentiellement lire des fichiers de configuration sensibles ou exécuter du code arbitraire pour prendre le contrôle total du site. Bien que l'attaque soit complexe à réaliser, elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants de connexion pour être tentée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX ShiftCV shift-cv allows PHP Local File Inclusion.This issue affects ShiftCV: from n/a through <= 3.0.14.