Ein nicht authentifizierter Angreifer kann eine Path-Traversal-Schwachstelle in der WordPress-Funktion get_page_template() ausnutzen, um eine gewählte lesbare lokale .php-Datei außerhalb der aktiven Theme-Verzeichnisse einzubinden. Unter bestimmten Vorbedingungen kann dies zu Remote Code Execution (RCE) führen. Die Schwachstelle erfordert, dass das aktive Child- oder Parent-Theme ein Verzeichnis der obersten Ebene enthält, das mit page- beginnt, wie page-templates.

Betroffene Themes sind die Legacy-Themes Twenty Twelve und Twenty Fourteen sowie beliebte Third-Party-Themes wie Neve, Hestia und Sydney. Eine gewählte lokale .php-Zieldatei muss ebenfalls auf dem Server existieren und vom Webserver-Konto lesbar sein. Der bekannte PEAR→RCE-Übergang über pearcmd.php kann genutzt werden, wenn register_argc_argv auf On gesetzt ist.

Das offizielle PHP-Image für Docker ist betroffen, und die Standard-c-Panel-Konfiguration ist betroffen, wenn PHP vor 8.5 verwendet wird. WordPress 7.1.2 wurde mit einem Fix veröffentlicht, und der Fix wurde auf alle Branches zurück bis 4.7 zurückportiert. Die Schwachstelle wurde von Robert Ressl entdeckt und verantwortungsvoll offengelegt.