Das WordPress-Theme Gamic bis einschliesslich Version 1.19 ist anfällig für PHP Object Injection (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann die Verarbeitung serialisierter Daten manipulieren, was schädliche Aktionen auf dem Server ermöglichen kann. Ob daraus eine Codeausführung oder Datenkompromittierung entsteht, hängt von anderen installierten Plugins oder Themes mit ausnutzbaren Gadget-Ketten ab; dies ist für das Theme allein nicht belegt.
ThemeREX · Gamic WordPress Theme
Das WordPress-Theme Gamezone von ThemeREX enthält bis und mit Version 1.1.11 eine unauthentifizierte PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte Daten an die Website senden, was je nach den in der Installation verfügbaren Gadget-Klassen zu schädlichen Aktionen auf dem Server führen kann, etwa zur Codeausführung. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und keine Herstellerwarnung gefunden, und der NVD-Status lautet Deferred.
ThemeREX · Gamezone WordPress theme
Das WordPress-Theme EmojiNation bis und mit Version 1.0.12 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Sie kann über das Netzwerk ohne Authentifizierung ausgelöst werden. Ein Angreifer kann die Verarbeitung von Daten durch die Website manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Eine korrigierte Version ist nicht bestätigt, und NVD führt den Status als Deferred.
ThemeREX · EmojiNation theme
Das WordPress-Theme Edge Decor bis und mit Version 2.9 enthält eine nicht authentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an eine verwundbare Website senden, womit sich die serverseitige Verarbeitung beeinflussen lässt. Ob daraus eine Codeausführung entsteht, hängt von den im Theme und in anderen installierten Plugins verfügbaren Gadget-Ketten ab.
ThemeREX · Edge Decor
Das WordPress-Theme Coinpress bis einschliesslich Version 1.0.15 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte Eingaben an die betroffene Website senden kann, kann die Datenverarbeitung manipulieren und unter Umständen schädliche Aktionen auf dem Server ausführen. Die NVD bewertet die Schwachstelle mit CVSS 3.1 9.8 (Kritisch), VulDB mit 7.3 und Vulners mit 5.9; die Bewertungen weichen somit voneinander ab, weshalb bis zur Patchstack-Beratung der höhere Wert für die Planung gilt.
ThemeREX · Coinpress
Das WordPress-Theme Bonbon bis und mit Version 1.11 ist von einer unauthentifizierten PHP Object Injection-Schwachstelle (CWE-502) betroffen. Ein Angreifer kann ohne Anmeldung manipulierte Eingaben an eine öffentliche Website senden, was zur Manipulation der serverseitigen Verarbeitung und potenziell zur Remote Code Execution führen kann. Eine offizielle Korrektur ist nicht bekannt und bisher wurde keine bestätigte Ausnutzung gemeldet.
ThemeREX · Bonbon
Das WordPress-Theme Avventure bis einschliesslich Version 1.1.12 enthält eine PHP Object Injection-Schwachstelle (CVE-2026-62010, CVSS 9.8 kritisch). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über manipulierte serialisierte Daten auf die Website einwirken, was je nach verfügbaren Gadget-Ketten zu Codeausführung, SQL-Injection, Path Traversal oder Denial of Service führen kann. Betroffen ist jede aus dem Internet erreichbare WordPress-Website mit diesem Theme. Zum Zeitpunkt der Recherche war weder eine korrigierte Version noch eine Herstellerwarnung verfügbar.
ThemeREX · Avventure
Das WordPress-Theme Filmax bis einschliesslich Version 1.1.11 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung ausgenutzt werden kann. Ein entfernter Angreifer kann präparierte Eingaben senden, um die Verarbeitung serialisierter Daten zu manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Ob daraus eine Codeausführung entsteht, hängt davon ab, ob in der installierten WordPress-Umgebung eine nutzbare Gadget-Kette vorhanden ist.
ThemeREX · Filmax
Das WordPress-Theme Orpheus bis einschliesslich Version 1.8 ist von einer nicht authentifizierten PHP-Object-Injection-Schwachstelle (CWE-502) betroffen. Ein Angreifer im Netzwerk kann ohne Konto manipulierte Daten an die Website senden, was die serverseitige Verarbeitung beeinflussen und schädliche Aktionen auf dem Server ermöglichen kann. Die NVD bewertet die Schwachstelle als kritisch (CVSS 3.1 9.8), VulDB vergibt 7.3; ein Herstellerfix ist nicht bestätigt.
ThemeREX · Orpheus
Das WordPress-Theme Nuts bis einschliesslich Version 1.12 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann mit einer präparierten Anfrage beeinflussen, wie die Website Daten verarbeitet, was zu schädlichen Aktionen auf dem Server führen kann, etwa zum Lesen oder Verändern von Daten sowie zu Störungen der Website. Das Theme wird für Glücksspiel- und Casino-Websites verkauft; der Hersteller hat keine Korrektur veröffentlicht, und die Zuordnung zum Produkt beruht auf Drittquellen.
ThemeREX · Nuts
Das WordPress-Theme Muzicon bis und mit Version 1.15 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte serialisierte Daten an eine verwundbare Website sendet, kann unter Umständen die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen. Das tatsächliche Ausmass hängt von den Gadget-Ketten der installierten Plugins ab, was nicht bewertet wurde.
ThemeREX · Muzicon
Das WordPress-Theme Motorix bis und mit Version 1.11 enthält eine PHP Object Injection ohne Authentifizierung (CWE-502). Ein Angreifer kann über das Netzwerk ohne Anmeldung manipulierte serialisierte Daten senden, wodurch er die Verarbeitung von Daten beeinflussen und schädliche Aktionen auf dem Server ausführen kann. Eine Remote Code Execution wird von einem Drittanbieter-Aggregator gemeldet, ist im Haupt-Advisory aber nicht bestätigt; ob die Lücke ausnutzbar ist, hängt vom installierten Code jeder Website ab.
ThemeREX · Motorix
Das WordPress-Theme Mission bis Version 1.22 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausgelöst werden kann. Ein Angreifer kann präparierte Daten senden, die die Anwendung deserialisiert, wodurch er die Anwendungslogik manipulieren und je nach verfügbaren Gadget-Chains auf dem Server Code ausführen kann. Patchstack stuft die Schwachstelle mit CVSS 9.8 und hoher Priorität ein. Öffentliche Websites sind bauartbedingt aus dem Internet erreichbar, daher ist die Exponierung hoch.
ThemeREX · Mission
Das WordPress-Theme Meals & Wheels bis einschliesslich Version 1.1.13 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte serialisierte Daten senden, wodurch er die Datenverarbeitung beeinflussen und schädliche Aktionen auf dem Server ausführen kann. Der CVSS-Wert von 9.8 stammt vom CNA, da die Anreicherung durch NVD noch aussteht.
ThemeREX · Meals & Wheels
Das WordPress-Theme Marcell bis und mit Version 1.2.14 ist von einer unauthentifizierten PHP Object Injection betroffen (CWE-502). Ein nicht angemeldeter Angreifer aus dem Netz kann präparierte Daten an die Website senden, was es ihm ermöglichen kann, die Datenverarbeitung zu manipulieren und potenziell schädliche Aktionen auf dem Server auszuführen. NVD stuft die Schwachstelle mit 9.8 (Critical) ein, VulDB mit 7.3. Ein Herstellerpatch ist nicht bestätigt, und es wurde weder ein öffentlicher Exploit noch eine bekannte Ausnutzung in freier Wildbahn gefunden.
ThemeREX · Marcell
Das WordPress-Theme Le Truffe bis und mit Version 1.1.7 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausnutzbar ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann manipulierte serialisierte Daten an die Website senden, was je nach Code auf dem Server zu Codeausführung, Dateimanipulation oder Denial of Service führen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch), und Patchstack erwartet Massenausnutzung.
ThemeREX · Le Truffe
Das WordPress-Theme Legal Stone bis einschliesslich Version 1.2.11 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausgenutzt werden kann. Ein nicht authentifizierter Angreifer kann serialisierte Daten manipulieren, die von der Website verarbeitet werden, wodurch schädliche Aktionen auf dem Server ausgeführt werden können. Patchstack stuft die Schwachstelle als kritisch (CVSS 9.8) ein und erwartet eine Ausnutzung; eine korrigierte Version oder ein öffentlicher Exploit ist jedoch nicht bestätigt.
ThemeREX · Legal Stone
Das WordPress-Plugin MLS On The Fly bis und mit Version 1.8.1.5 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein authentifizierter Benutzer mit der Rolle Subscriber, also mit niedrigen Berechtigungen, kann manipulierte Eingaben senden, die ungefiltert an die Datenbank weitergegeben werden. Ein erfolgreicher Angriff könnte Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und gespeicherter Kunden- oder Interessentendaten. Patchstack meldet, dass noch kein offizieller Patch verfügbar ist, und die Herstellerzuordnung ist nicht bestätigt.
Realtyna · MLS On The Fly
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Das WordPress-Plugin GEO my WordPress bis und mit Version 4.5.5.3 enthält eine PHP Object Injection-Schwachstelle (CWE-502), bei der nicht vertrauenswürdige Daten deserialisiert werden. Ein nicht authentifizierter Angreifer kann dies ohne Anmeldung über das Netzwerk ausnutzen, was eine Manipulation der serverseitigen Verarbeitung und potenziell schädliche Aktionen auf dem Webserver ermöglichen kann. Ob ein Angriff gelingt, hängt von den installierten Plugins und Bibliotheken ab, was nicht überprüft werden konnte.
Eyal Fitoussi · GEO my WordPress
Das Cache-Add-on des WordPress-Plugins Ajax Load More in den Versionen 3.1.1 und älter enthält eine unauthentifizierte Remote Code Execution-Schwachstelle (CWE-94, Code-Injection). Ein Angreifer aus dem Internet kann ohne Anmeldung manipulierte Anfragen senden und laut der Einstufung von Patchstack beliebige Befehle auf dem Server ausführen. Die Gefährdung hängt davon ab, ob das Add-on auf einer aus dem Internet erreichbaren WordPress-Website installiert ist.
Connekthq · Ajax Load More Cache
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
