CVE-2026-28095
Publiée le 2026-03-05 · Dernière modification le 2026-06-17
Le thème WordPress ThemeREX Marcell (version 1.2.14 et versions antérieures) contient une faille qui permet à des attaquants distants d'inclure des fichiers locaux du serveur dans l'application. En cas de succès, un attaquant peut lire des fichiers système sensibles ou potentiellement exécuter du code arbitraire pour prendre le contrôle total du serveur. Bien qu'aucune authentification ni interaction de l'utilisateur ne soit requise, l'attaque est complexe à exécuter et nécessite un accès réseau spécifique au site concerné.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Marcell marcell allows PHP Local File Inclusion.This issue affects Marcell: from n/a through <= 1.2.14.