Das WordPress-Theme ThemeREX Royal Event in Versionen bis einschliesslich 2.0 (untere Grenze unbekannt) deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Ein nicht authentifizierter Angreifer aus der Ferne kann dies ohne Benutzerinteraktion ausnutzen, wodurch die serverseitige Verarbeitung manipuliert werden kann und je nach verfügbaren Gadget-Ketten in den Plugins der Website Remote Code Execution oder Datenkompromittierung möglich sind. Patchstack bewertet die Schwachstelle mit CVSS 3.1 als 9.8 (kritisch), VulDB mit 7.3. Zum Zeitpunkt der Erfassung ist keine Ausnutzung in freier Wildbahn bekannt.
ThemeREX · Royal Event
Das WordPress-Theme Gunslinger bis einschliesslich Version 1.11 ist von einer nicht authentifizierten PHP Object Injection (CWE-502) betroffen, die mit CVSS 9.8 als kritisch eingestuft ist. Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte serialisierte Daten an die Website senden, was je nach verfügbaren Klassen installierter Plugins zur Codeausführung oder zur Manipulation von Daten auf dem Server führen kann. Das Theme wird typischerweise für Online-Shops eingesetzt, weshalb aus dem Internet erreichbare Websites am stärksten gefährdet sind.
ThemeREX · Gunslinger
Das WordPress-Theme Good Homes bis Version 1.3.13 ist anfällig für PHP Object Injection durch unsichere Deserialisierung von Daten. Ein nicht authentifizierter Angreifer kann dies über das Netzwerk ausnutzen, indem er manipulierte Eingaben an eine öffentliche Website sendet. Je nach den auf der Website verfügbaren PHP-Klassen kann dies zur Manipulation von Daten oder zur Ausführung von Code auf dem Server führen.
ThemeREX · Good Homes
Das WordPress-Theme Gamic bis einschliesslich Version 1.19 ist anfällig für PHP Object Injection (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann die Verarbeitung serialisierter Daten manipulieren, was schädliche Aktionen auf dem Server ermöglichen kann. Ob daraus eine Codeausführung oder Datenkompromittierung entsteht, hängt von anderen installierten Plugins oder Themes mit ausnutzbaren Gadget-Ketten ab; dies ist für das Theme allein nicht belegt.
ThemeREX · Gamic WordPress Theme
Das WordPress-Theme Gamezone von ThemeREX enthält bis und mit Version 1.1.11 eine unauthentifizierte PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte Daten an die Website senden, was je nach den in der Installation verfügbaren Gadget-Klassen zu schädlichen Aktionen auf dem Server führen kann, etwa zur Codeausführung. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und keine Herstellerwarnung gefunden, und der NVD-Status lautet Deferred.
ThemeREX · Gamezone WordPress theme
Das WordPress-Theme EmojiNation bis und mit Version 1.0.12 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Sie kann über das Netzwerk ohne Authentifizierung ausgelöst werden. Ein Angreifer kann die Verarbeitung von Daten durch die Website manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Eine korrigierte Version ist nicht bestätigt, und NVD führt den Status als Deferred.
ThemeREX · EmojiNation theme
Das WordPress-Theme Edge Decor bis und mit Version 2.9 enthält eine nicht authentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an eine verwundbare Website senden, womit sich die serverseitige Verarbeitung beeinflussen lässt. Ob daraus eine Codeausführung entsteht, hängt von den im Theme und in anderen installierten Plugins verfügbaren Gadget-Ketten ab.
ThemeREX · Edge Decor
Das WordPress-Theme Coinpress bis einschliesslich Version 1.0.15 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte Eingaben an die betroffene Website senden kann, kann die Datenverarbeitung manipulieren und unter Umständen schädliche Aktionen auf dem Server ausführen. Die NVD bewertet die Schwachstelle mit CVSS 3.1 9.8 (Kritisch), VulDB mit 7.3 und Vulners mit 5.9; die Bewertungen weichen somit voneinander ab, weshalb bis zur Patchstack-Beratung der höhere Wert für die Planung gilt.
ThemeREX · Coinpress
Das WordPress-Theme Bonbon bis und mit Version 1.11 ist von einer unauthentifizierten PHP Object Injection-Schwachstelle (CWE-502) betroffen. Ein Angreifer kann ohne Anmeldung manipulierte Eingaben an eine öffentliche Website senden, was zur Manipulation der serverseitigen Verarbeitung und potenziell zur Remote Code Execution führen kann. Eine offizielle Korrektur ist nicht bekannt und bisher wurde keine bestätigte Ausnutzung gemeldet.
ThemeREX · Bonbon
Das WordPress-Theme Avventure bis einschliesslich Version 1.1.12 enthält eine PHP Object Injection-Schwachstelle (CVE-2026-62010, CVSS 9.8 kritisch). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über manipulierte serialisierte Daten auf die Website einwirken, was je nach verfügbaren Gadget-Ketten zu Codeausführung, SQL-Injection, Path Traversal oder Denial of Service führen kann. Betroffen ist jede aus dem Internet erreichbare WordPress-Website mit diesem Theme. Zum Zeitpunkt der Recherche war weder eine korrigierte Version noch eine Herstellerwarnung verfügbar.
ThemeREX · Avventure
Das WordPress-Theme Filmax bis einschliesslich Version 1.1.11 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung ausgenutzt werden kann. Ein entfernter Angreifer kann präparierte Eingaben senden, um die Verarbeitung serialisierter Daten zu manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Ob daraus eine Codeausführung entsteht, hängt davon ab, ob in der installierten WordPress-Umgebung eine nutzbare Gadget-Kette vorhanden ist.
ThemeREX · Filmax
Das WordPress-Theme Orpheus bis einschliesslich Version 1.8 ist von einer nicht authentifizierten PHP-Object-Injection-Schwachstelle (CWE-502) betroffen. Ein Angreifer im Netzwerk kann ohne Konto manipulierte Daten an die Website senden, was die serverseitige Verarbeitung beeinflussen und schädliche Aktionen auf dem Server ermöglichen kann. Die NVD bewertet die Schwachstelle als kritisch (CVSS 3.1 9.8), VulDB vergibt 7.3; ein Herstellerfix ist nicht bestätigt.
ThemeREX · Orpheus
Das WordPress-Theme Nuts bis einschliesslich Version 1.12 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann mit einer präparierten Anfrage beeinflussen, wie die Website Daten verarbeitet, was zu schädlichen Aktionen auf dem Server führen kann, etwa zum Lesen oder Verändern von Daten sowie zu Störungen der Website. Das Theme wird für Glücksspiel- und Casino-Websites verkauft; der Hersteller hat keine Korrektur veröffentlicht, und die Zuordnung zum Produkt beruht auf Drittquellen.
ThemeREX · Nuts
Das WordPress-Theme Muzicon bis und mit Version 1.15 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte serialisierte Daten an eine verwundbare Website sendet, kann unter Umständen die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen. Das tatsächliche Ausmass hängt von den Gadget-Ketten der installierten Plugins ab, was nicht bewertet wurde.
ThemeREX · Muzicon
Das WordPress-Theme Motorix bis und mit Version 1.11 enthält eine PHP Object Injection ohne Authentifizierung (CWE-502). Ein Angreifer kann über das Netzwerk ohne Anmeldung manipulierte serialisierte Daten senden, wodurch er die Verarbeitung von Daten beeinflussen und schädliche Aktionen auf dem Server ausführen kann. Eine Remote Code Execution wird von einem Drittanbieter-Aggregator gemeldet, ist im Haupt-Advisory aber nicht bestätigt; ob die Lücke ausnutzbar ist, hängt vom installierten Code jeder Website ab.
ThemeREX · Motorix
Das WordPress-Theme Mission bis Version 1.22 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausgelöst werden kann. Ein Angreifer kann präparierte Daten senden, die die Anwendung deserialisiert, wodurch er die Anwendungslogik manipulieren und je nach verfügbaren Gadget-Chains auf dem Server Code ausführen kann. Patchstack stuft die Schwachstelle mit CVSS 9.8 und hoher Priorität ein. Öffentliche Websites sind bauartbedingt aus dem Internet erreichbar, daher ist die Exponierung hoch.
ThemeREX · Mission
Das WordPress-Theme Meals & Wheels bis einschliesslich Version 1.1.13 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte serialisierte Daten senden, wodurch er die Datenverarbeitung beeinflussen und schädliche Aktionen auf dem Server ausführen kann. Der CVSS-Wert von 9.8 stammt vom CNA, da die Anreicherung durch NVD noch aussteht.
ThemeREX · Meals & Wheels
Das WordPress-Theme Marcell bis und mit Version 1.2.14 ist von einer unauthentifizierten PHP Object Injection betroffen (CWE-502). Ein nicht angemeldeter Angreifer aus dem Netz kann präparierte Daten an die Website senden, was es ihm ermöglichen kann, die Datenverarbeitung zu manipulieren und potenziell schädliche Aktionen auf dem Server auszuführen. NVD stuft die Schwachstelle mit 9.8 (Critical) ein, VulDB mit 7.3. Ein Herstellerpatch ist nicht bestätigt, und es wurde weder ein öffentlicher Exploit noch eine bekannte Ausnutzung in freier Wildbahn gefunden.
ThemeREX · Marcell
Das WordPress-Theme Le Truffe bis und mit Version 1.1.7 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausnutzbar ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann manipulierte serialisierte Daten an die Website senden, was je nach Code auf dem Server zu Codeausführung, Dateimanipulation oder Denial of Service führen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch), und Patchstack erwartet Massenausnutzung.
ThemeREX · Le Truffe
Das WordPress-Theme Legal Stone bis einschliesslich Version 1.2.11 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausgenutzt werden kann. Ein nicht authentifizierter Angreifer kann serialisierte Daten manipulieren, die von der Website verarbeitet werden, wodurch schädliche Aktionen auf dem Server ausgeführt werden können. Patchstack stuft die Schwachstelle als kritisch (CVSS 9.8) ein und erwartet eine Ausnutzung; eine korrigierte Version oder ein öffentlicher Exploit ist jedoch nicht bestätigt.
ThemeREX · Legal Stone
Das WordPress-Theme Ozisti bis und mit Version 1.1.10 enthält eine unauthentifizierte PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer kann präparierte serialisierte Daten an die Website senden, wodurch er die Verarbeitung von Daten manipulieren und potenziell schädliche Aktionen auf dem Server ausführen kann. Es ist kein Login erforderlich; die NVD stuft die Schwachstelle als kritisch ein (CVSS 3.1 9.8), andere Bewertungsquellen weichen jedoch ab.
ThemeREX · Ozisti
Das WordPress-Theme Preservation bis einschliesslich Version 1.15 enthält eine unauthentifizierte PHP Object Injection (CWE-502). Ein nicht angemeldeter Angreifer kann manipulierte serialisierte Daten übermitteln, die das Theme verarbeitet, wodurch die Anwendungslogik beeinflusst werden und weitere Aktionen auf dem Server möglich werden können. Ob Codeausführung möglich ist, hängt von Gadget-Ketten in anderen installierten Plugins oder Themes ab, was für dieses Theme nicht bestätigt ist. Der NVD-Score beträgt 9.8 (Critical), der NVD-Eintrag befindet sich jedoch noch im Status Deferred.
ThemeREX · Preservation
Das WordPress-Theme Printy bis und mit Version 1.13.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann serialisierte Daten manipulieren, die von der Website verarbeitet werden, was je nach installierten Plugins und verfügbarem Code zu schädlichen Aktionen auf dem Server führen kann. Die Schwachstelle ist mit CVSS 9.8 als kritisch eingestuft, und Patchstack erwartet Ausnutzung in Massenkampagnen, eine Ausnutzung wurde bisher jedoch nicht bestätigt.
ThemeREX · Printy
Das WordPress-Theme Quirky in den Versionen bis und mit 1.23 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über eine öffentliche Website manipulierte serialisierte Daten senden, was die serverseitige Verarbeitung beeinflussen und je nach verfügbaren PHP-Klassen zu Codeausführung oder anderen schwerwiegenden Auswirkungen führen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch); die tatsächlichen Auswirkungen pro Website konnten nicht verifiziert werden.
ThemeREX · Quirky WordPress theme
Das WordPress-Theme RexCoin bis einschliesslich Version 1.2.6 enthält eine unauthentifizierte PHP Object Injection Schwachstelle (CWE-502). Ein entfernter Angreifer kann ohne Anmeldung manipulierte Daten an eine öffentliche Website senden, wodurch er die serverseitige Verarbeitung beeinflussen und möglicherweise schädlichen Code ausführen kann. Patchstack stuft die Lücke als hohe Priorität mit einem CVSS-Wert von 9.8 ein und erwartet eine Ausnutzung, während der NVD-Status derzeit Deferred ist.
ThemeREX · RexCoin WordPress theme
