AivahThemes Hostme v2: Nicht authentifizierte PHP Object Injection über Deserialisierung
Zusammenfassung
Das WordPress-Theme AivahThemes Hostme v2 bis und mit Version 7.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die durch unsichere Deserialisierung nicht vertrauenswürdiger Daten entsteht. Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte Eingaben an eine öffentliche Website senden, was je nach verfügbaren PHP-Klassen schädliche Aktionen auf dem Server erlauben könnte, etwa das Manipulieren von Daten oder das Ausführen von Code. Eine Korrektur des Herstellers ist nicht bestätigt, und der CVSS-Basiswert beträgt 9.8 (kritisch).
Betroffen
- AivahThemes Hostme v2 (Theme-Ordner hostmev2), alle Versionen bis und mit 7.0
- Beginn des betroffenen Bereichs: n/a
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt. Es darf nicht davon ausgegangen werden, dass eine Version über 7.0 gepatcht ist.
Umgehung
- Keine Workaround-Massnahme des Herstellers gefunden.
- Theme nach Möglichkeit deaktivieren und ersetzen.
- Falls das Theme weiterhin genutzt werden muss, den öffentlichen Zugriff auf die Website soweit möglich einschränken.
- WAF-Regeln oder Virtual Patching erst nach Prüfung anhand des Patchstack-Advisory anwenden.
Ausnutzung
- Gemäss den geprüften Quellen gibt es keine Hinweise auf eine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS 0.00313 (niedrig).
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob das Theme auf einer aus dem Internet erreichbaren Website installiert ist.
- Theme ersetzen oder den öffentlichen Zugriff so weit wie möglich einschränken.
- Das Patchstack-Advisory und das Changelog auf ThemeForest regelmässig auf eine Korrektur prüfen.
- Zusätzlich CVE-2026-112849 prüfen, eine Cross-Site Scripting-Schwachstelle im gleichen Theme.
- Webserver-Logs auf ungewöhnliche Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- ThemeForest Hostme v2 product page themeforest.net
- ThemeForest Hostme v2 support page themeforest.net
- VulDB entry (differing CVSS score 7.3) vuldb.com
- Vulners NVD record vulners.com
- Hol.org CVE entry hol.org
- Strix CVE entry www.strix.ai
- EUVD-2026-108955 (related XSS in same theme) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.