CVE-2026-28088
Publiée le 2026-03-05 · Dernière modification le 2026-06-17
Le thème WordPress Aqualots de ThemeREX (version 1.1.6 et versions antérieures) contient une faille qui permet à un attaquant de forcer le serveur à inclure et à exécuter des fichiers locaux. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour lire des fichiers système sensibles ou potentiellement exécuter du code arbitraire, bien que l'attaque soit techniquement complexe à réaliser. Aucune interaction de l'utilisateur n'est requise, mais l'attaquant doit disposer d'un accès réseau au serveur web.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Aqualots aqualots allows PHP Local File Inclusion.This issue affects Aqualots: from n/a through <= 1.1.6.