Das WordPress-Theme ZenSoul von ThemeREX in den Versionen bis und mit 1.13 deserialisiert nicht vertrauenswürdige Daten ohne ausreichende Prüfung. Ein nicht authentifizierter Angreifer aus dem Netz kann PHP-Objekte einschleusen, was je nach anderem Code auf der Website die serverseitige Verarbeitung manipulieren und schädliche Aktionen auf dem Server ermöglichen kann. Patchstack stuft die Lücke mit CVSS 9.8 als hohe Priorität ein, ein offizieller Patch ist jedoch nicht bestätigt.
ThemeREX · ZenSoul
Das WordPress-Theme Save Life von ThemeREX bis und mit Version 1.2.14 deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Ein nicht authentifizierter Angreifer aus dem Internet kann die Datenverarbeitung der Website manipulieren und möglicherweise schädliche Aktionen auf dem Server ausführen; der CVSS-Wert beträgt 9.8. Ein Herstellerpatch ist nicht verfügbar, und zum Zeitpunkt der Erstellung wurde weder eine bestätigte Ausnutzung noch ein öffentlicher Proof of Concept gefunden.
ThemeREX · Save Life
Das WordPress-Theme Buzz Stone | Magazine & Viral Blog in den Versionen 1.0.2 und älter enthält eine nicht authentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an die Website senden, was je nach Code und installierten Plugins die Manipulation der serverseitigen Verarbeitung und unter Umständen Remote Code Execution ermöglichen kann. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, eine Ausnutzung ist in den geprüften Quellen jedoch nicht bestätigt.
ThemeRex · Buzz Stone | Magazine & Viral Blog WordPress Theme
Das WordPress-Theme Photolia bis und mit Version 1.0.3 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Anmeldung ausgelöst werden kann. Ein Angreifer kann präparierte serialisierte Daten an die Website senden, was zu schädlichen Aktionen auf dem Server führen kann. Das volle Ausmass hängt von den weiteren auf der Website installierten Komponenten ab, und der Hersteller hat noch keine korrigierte Version bestätigt.
ThemeREX · Photolia
Das WordPress-Theme Jacqueline bis und mit Version 2.22 enthält eine PHP Object Injection-Schwachstelle (CWE-502, Deserialisierung nicht vertrauenswürdiger Daten). Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte Daten senden, die vom Theme deserialisiert werden, was die serverseitige Verarbeitung manipulieren und schädliche Aktionen auf dem Webserver ermöglichen kann. Patchstack und die CISA-SSVC-Daten stufen die Auswirkung als total ein, der CVSS-Score beträgt 9.8.
ThemeREX · Jacqueline
Das WordPress-Theme Alliance von ThemeREX enthält bis und mit Version 3.11 eine PHP-Object-Injection-Schwachstelle (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann präparierte Daten senden, die die Website deserialisiert, wodurch sich die Anwendungslogik manipulieren lässt und je nach vorhandenem Code in den installierten Komponenten Code auf dem Server ausgeführt werden kann. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch). Aus dem Internet erreichbare Websites und Extranets mit diesem Theme sind am stärksten gefährdet.
ThemeREX · Alliance
Das WordPress-Theme ShiftCV von ThemeREX in den Versionen bis einschliesslich 3.0.14 enthält eine PHP-Object-Injection-Schwachstelle (CWE-502) bei der Verarbeitung serialisierter Daten. Die Schwachstelle lässt sich ohne Authentifizierung über das Netzwerk auslösen, wodurch ein Angreifer die Datenverarbeitung der Website manipulieren könnte. Patchstack und die CISA-SSVC-Bewertung stufen die Auswirkung als total ein; Codeausführung ist je nach installiertem Code möglich, aber nicht bestätigt.
ThemeREX · ShiftCV
Das WordPress-Theme Windsor von ThemeREX in den Versionen bis und mit 2.10 enthält eine unauthentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte Daten an die Website senden, wodurch die Verarbeitung von Objekten auf dem Server beeinflusst werden kann. Je nach weiterem Code auf der Website sind Dateilöschung, Offenlegung sensitiver Daten oder Codeausführung möglich. Der CVSS-Score beträgt 9.8 (kritisch).
ThemeREX · Windsor
Das WordPress-Theme Education Center bis und mit Version 3.6.12 enthält eine unauthentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung präparierte serialisierte Daten an die Website senden, was die serverseitige Verarbeitung manipulieren und je nach installierten Komponenten zu Codeausführung oder Datenkompromittierung führen kann. Jede Website, auf der das Theme aktiv und aus dem Internet erreichbar ist, ist gefährdet.
ThemeREX · Education Center
Das WordPress-Theme Asia Garden in Versionen bis einschliesslich 1.3.1 enthält eine PHP Object Injection ohne Authentifizierung (CWE-502), bewertet mit CVSS 9.8 (kritisch). Ein Angreifer aus dem Netz kann ohne Anmeldung manipulierte Daten an die Website senden, wodurch der Server schädliche Objekte verarbeiten kann. Ob daraus eine Codeausführung entsteht, hängt von anderer PHP-Software auf der Website ab, die als Gadget-Kette missbraucht werden kann, und ist unbekannt.
ThemeREX · Asia Garden
Das WordPress-Theme N7 | Golf Club Sports & Events bis und mit Version 2.21 enthält eine unauthentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an die Website senden, was die serverseitige Verarbeitung beeinflussen und je nach vorhandenen PHP-Klassen zur Codeausführung führen kann. Der CVSS-Wert beträgt 9.8 (kritisch), und Patchstack rechnet mit einer Ausnutzung.
ThemeREX · N7 | Golf Club Sports & Events
Das WordPress-Theme Invetex von ThemeREX bis und mit Version 2.18 enthält eine nicht authentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein entfernter Angreifer ohne Konto kann präparierte Eingaben an die Website senden, was zur Ausführung beliebigen Codes auf dem Server und zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Die Ausnutzung hängt von Gadget-Ketten im Code der Website ab, zu denen die Quellen keine Angaben machen.
ThemeREX · Invetex
Das WordPress-Theme Law Office von ThemeREX, Versionen bis und mit 3.20, enthält eine nicht authentifizierte PHP-Objektinjektion (CWE-502). Ein Angreifer kann ohne Anmeldung über das Netzwerk manipulierte Daten senden, wodurch die Verarbeitung von Daten auf der Website beeinflusst werden kann. Der CVSS-Vektor bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch; ob Codeausführung möglich ist, hängt von Gadget-Ketten in der Installation ab, die nicht verifiziert sind.
ThemeREX · Law Office
Das WineShop WordPress-Theme bis und mit Version 3.20 enthält eine PHP Object Injection-Schwachstelle (CWE-502) ohne Authentifizierung. Ein entfernter Angreifer kann ohne Anmeldung und ohne Benutzerinteraktion präparierte serialisierte Daten an die Website senden. Patchstack stuft die Lücke als hohe Priorität ein, und CISA SSVC bewertet sie als automatisierbar mit vollständiger technischer Auswirkung; eine Ausnutzung in freier Wildbahn ist nicht bestätigt. Ob eine Code-Ausführung tatsächlich möglich ist, hängt von den PHP-Klassen im installierten Code und in den Plugins ab.
ThemeREX · WineShop
Das WordPress-Theme Equadio bis und mit Version 1.1.4 enthält eine PHP Object Injection Schwachstelle ohne Authentifizierung (CWE-502). Ein Angreifer aus dem Internet kann über manipulierte Eingaben eine verwundbare Website angreifen, was je nach verfügbaren PHP-Klassen auf dem Server zu Codeausführung, Datendiebstahl oder Betriebsstörungen führen kann. Der CVSS-Wert 9.8 wurde vom CNA Patchstack vergeben; NVD hat den Eintrag noch nicht analysiert, und eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bestätigt.
ThemeREX · Equadio WordPress theme
Das WordPress-Theme Juno von ThemeREX in Version 2.25 und älter enthält eine unauthentifizierte PHP Object Injection (CWE-502), die als KRITISCH mit CVSS 9.8 bewertet ist. Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an die Website senden, was die serverseitige Verarbeitung manipulieren und je nach verfügbaren Klassen im Code der Website zu Remote Code Execution führen kann. Eine offizielle korrigierte Version wurde vom Hersteller nicht bestätigt, und die Quellen widersprechen sich bezüglich der ersten korrigierten Version. Juno richtet sich an WooCommerce-Shops, die häufig aus dem Internet erreichbar sind.
ThemeREX · Juno WordPress theme
Das WordPress-Theme Yacht Rental von ThemeREX bis und mit Version 2.6 enthält eine unauthentifizierte PHP Object Injection (CWE-502), die über das Netzwerk ohne Anmeldung ausgelöst werden kann. Ein erfolgreicher Angreifer könnte die Verarbeitung serialisierter Daten manipulieren, was je nach verfügbaren Gadget-Ketten in den installierten Plugins und Bibliotheken schädliche Aktionen auf dem Server ermöglichen kann. Der CNA bewertet die Lücke mit CVSS 9.8 (kritisch), Patchstack stuft sie als hohe Priorität ein.
ThemeREX · Yacht Rental
Das WordPress-Theme Wine House bis einschliesslich Version 3.20 enthält eine nicht authentifizierte PHP-Object-Injection-Schwachstelle (CVSS 9.8, kritisch). Ein Angreifer kann manipulierte Daten senden, sodass die Website diese als PHP-Objekte verarbeitet, was zu schädlichen Aktionen auf dem Server führen kann. Öffentliche WordPress-Websites mit diesem Theme sind standardmässig exponiert; Hersteller- und Aggregatorquellen beschreiben die Auswirkung als mögliche Remote Code Execution, was nicht unabhängig verifiziert ist.
ThemeREX · Wine House
Das WordPress-Theme Tipsy bis Version 1.6 enthält eine PHP-Object-Injection-Schwachstelle, die ohne Authentifizierung über HTTP ausgelöst werden kann. Ein Angreifer kann durch gezielt manipulierte Eingaben die Verarbeitung von Daten auf dem Server beeinflussen, was je nach vorhandenen PHP-Klassen zu Codeausführung oder Datenmanipulation führen kann. Der CVSS-Wert beträgt 9.8 (kritisch), und Patchstack erwartet, dass die Schwachstelle in Massenangriffen ausgenutzt wird.
ThemeREX · Tipsy
Das WordPress-Theme Stargaze bis einschliesslich Version 1.10 ist anfällig für PHP Object Injection (CWE-502) ohne Authentifizierung. Ein nicht authentifizierter Angreifer kann unter Umständen die Verarbeitung serialisierter Daten manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Der CVSS-Wert beträgt 9.8 (kritisch). Eine bestätigte Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.
ThemeREX · Stargaze
Das WordPress-Theme Splendour in den Versionen 1.23 und älter enthält eine unauthentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann eine manipulierte serialisierte PHP-Nutzlast senden, die vom Theme deserialisiert wird; dies kann die serverseitige Verarbeitung manipulieren und je nach verfügbaren Gadget-Ketten zur Ausführung beliebigen Codes führen. Es ist kein Login nötig, weshalb jede aus dem Internet erreichbare WordPress-Seite mit diesem Theme gefährdet ist.
ThemeREX · Splendour
