Thème Javo Spot : faille de lecture de fichiers corrigée en 3.0.0

En bref

• Produit : Javo Spot, thème WordPress commercial de type annuaire.
• Versions affectées : toutes les versions antérieures à 3.0.0.
• Version corrigée : 3.0.0.
• Sévérité : élevée, score CVSS 7.5.
• CVE : CVE-2017-20287.
• Exploitation active : inconnu (la vulnérabilité ne figure pas au catalogue KEV de la CISA).
• Date de l'avis : 22 octobre 2026 (publication au NVD).

Le NVD a publié le 22 octobre 2026 la fiche CVE-2017-20287, qui décrit une vulnérabilité de type traversée de répertoire dans le thème WordPress Javo Spot. Malgré un identifiant ancien, la faille n'avait jusqu'ici pas fait l'objet d'une fiche au NVD. Elle permet à un visiteur non authentifié de lire des fichiers arbitraires sur le serveur, y compris le fichier de configuration de WordPress, qui contient les identifiants de la base de données et les clés secrètes du site.

La correction est disponible depuis la version 3.0.0 du thème. Le score CVSS de 7.5 classe la faille en sévérité élevée : elle ne permet pas directement de modifier le site, mais la fuite des identifiants de base de données et des clés de sécurité peut ouvrir la voie à une compromission complète.

Selon la fiche du NVD, des traces d'exploitation ont été observées pour la première fois par la Shadowserver Foundation le 19 octobre 2023. La vulnérabilité n'est en revanche pas inscrite au catalogue KEV de la CISA, d'où la mention « inconnu » dans l'encadré ci-dessus.

Qui est concerné ?

Tout site WordPress qui utilise le thème Javo Spot dans une version antérieure à 3.0.0 est exposé. La faille ne requiert aucune authentification : un site accessible publiquement est concerné. Le nombre d'installations actives est non précisé par l'éditeur ; le thème est distribué hors du répertoire officiel de WordPress, via la place de marché ThemeForest.

Les thèmes commerciaux de ce type sont souvent installés une fois puis rarement mis à jour, faute de mise à jour automatique depuis le tableau de bord. Les agences et les freelances qui maintiennent un parc de sites ont donc intérêt à vérifier la présence de ce thème sur chacun d'eux, y compris sur des sites anciens ou peu suivis.

Que faire ?

• Mettre à jour le thème Javo Spot vers la version 3.0.0 ou une version ultérieure, en récupérant le paquet depuis le compte d'achat ThemeForest.
• Si le thème est installé mais inutilisé, le supprimer plutôt que de le laisser en place.
• Vérifier les journaux d'accès du serveur à la recherche de requêtes anormales visant les fichiers de configuration.
• En cas de doute sur une lecture du fichier de configuration, changer le mot de passe de la base de données et régénérer les clés secrètes de WordPress.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis appliquer la mise à jour avant la remise en ligne.

Sources

• NVD : fiche CVE-2017-20287 (source primaire)
• WPScan : fiche de la vulnérabilité Javo Spot
• VulnCheck : avis sur le thème Javo Spot