ThemeREX ZenSoul WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme ZenSoul von ThemeREX in den Versionen bis und mit 1.13 deserialisiert nicht vertrauenswürdige Daten ohne ausreichende Prüfung. Ein nicht authentifizierter Angreifer aus dem Netz kann PHP-Objekte einschleusen, was je nach anderem Code auf der Website die serverseitige Verarbeitung manipulieren und schädliche Aktionen auf dem Server ermöglichen kann. Patchstack stuft die Lücke mit CVSS 9.8 als hohe Priorität ein, ein offizieller Patch ist jedoch nicht bestätigt.
Betroffen
- ThemeREX ZenSoul WordPress-Theme, Versionen bis und mit 1.13 (früheste betroffene Version unbekannt)
- Versionen über 1.13 sind in den geprüften Quellen weder als behoben noch als nicht betroffen bestätigt
Behoben in
Unbekannt. Patchstack gibt an, dass kein offizieller Patch verfügbar ist. Die Quellen widersprechen sich bei den aktuellen Versionsnummern (ThemeForest führt 1.18.0), daher sind die installierte Version und das Änderungsprotokoll des Herstellers zu prüfen.
Umgehung
- Den öffentlichen Zugriff auf die betroffene Website mit einer WAF oder Kontrollen auf Hosting-Ebene einschränken, bis das Problem behoben ist
- Ein virtuelles Patching durch eine WAF oder einen Sicherheitsanbieter prüfen (Patchstack bietet dies als kommerzielle Option an, nicht als offizielle Korrektur von ThemeREX)
- Weitere installierte Plugins und Themes auf gefährliche Deserialisierungs-Gadgets prüfen
- Prüfen, dass eine Änderung die Website nicht beeinträchtigt, und vorher ein Backup erstellen
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: nicht bestätigt
- Öffentlicher Proof of Concept: in den geprüften Quellen keiner gefunden
- Patchstack erwartet eine Ausnutzung (Prognose, nicht beobachtet)
- EPSS: 0.00313 (geringe prognostizierte Wahrscheinlichkeit)
- Nicht authentifiziert und über das Netz erreichbar, keine Benutzerinteraktion erforderlich
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und die installierte ZenSoul-Version im Style-Header des Themes oder im WordPress-Admin prüfen
- Bei Websites mit Version 1.13 oder tiefer oder unbekannter Version: Exposition einschränken und einen Ersatz durch ein gepflegtes Theme oder ein verifiziertes Update planen
- Den Patchstack-Eintrag und das Änderungsprotokoll von ThemeREX auf ThemeForest auf eine behobene Version überwachen
- Webserver-Logs auf ungewöhnliche POST-Anfragen prüfen und vor Änderungen Backups erstellen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- NVD/CNA record (Vulners) vulners.com
- HOL Guard entry hol.org
- VulDB entry vuldb.com
- ThemeREX ZenSoul product page themerex.net
- ThemeForest ZenSoul listing themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.