Haaken WordPress-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Haaken (Fashion Store) in den Versionen bis und mit 1.5 ist von einer unauthentifizierten PHP Object Injection betroffen. Ein unauthentifizierter Angreifer aus dem Netzwerk kann manipulierte serialisierte Daten an die Website senden, wodurch er die Anwendungslogik beeinflussen und potenziell schädliche Aktionen auf dem Server ausführen könnte. Ein erfolgreicher Angriff hängt davon ab, ob auf der Website nutzbare Gadget-Ketten vorhanden sind und ob der Angreifer die hohe Angriffskomplexität überwindet.
Betroffen
- WordPress-Theme Haaken (Edge-Themes), Versionen <= 1.5
- Haaken-Core-Plugin: betroffene Versionen unbekannt
Behoben in
- Theme-Version 1.6 ist laut CNA-Advisory die wahrscheinliche Korrektur, dies ist jedoch weder im Changelog des Herstellers noch im primären Advisory bestätigt
- Haaken Core: korrigierte Version unbekannt
Umgehung
Unbekannt.
- Falls kein Update möglich ist, das Theme auf öffentlich erreichbaren Websites deaktivieren.
Ausnutzung
- Nicht als ausgenutzt bekannt; nicht im CISA-KEV-Katalog gelistet
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total
- EPSS-Score 0.26%
- Kein öffentlicher Proof of Concept gefunden
- Patchstack beschreibt die Schwachstelle auf Basis der eigenen Risikobewertung als voraussichtlich ausgenutzt
Unsere Empfehlung
- Alle WordPress-Websites mit Haaken identifizieren und die Versionen von Theme und Haaken Core erfassen
- Auf die neueste Version, mindestens 1.6, aktualisieren und die Korrektur anhand des Patchstack-Advisory überprüfen
- Lässt sich keine korrigierte Version bestätigen, das Theme auf öffentlich erreichbaren Websites deaktivieren
- Öffentlich erreichbare Websites auf Anzeichen einer Kompromittierung prüfen
- NVD- und Patchstack-Einträge überwachen, da die NVD-Analyse noch aussteht
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- ThemeForest Haaken Fashion Store changelog themeforest.net
- Hol.org security advisory hol.org
- VulDB CVE-2026-104747 vuldb.com
- Strix CVE-2026-104747 www.strix.ai
- SonarSource: WordPress object injection www.sonarsource.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.