Helion WordPress-Theme: PHP Object Injection durch Deserialisierung unsicherer Daten
Zusammenfassung
Das WordPress-Theme Helion deserialisiert bis einschliesslich Version 1.1.12 nicht vertrauenswürdige Daten, was eine PHP Object Injection (CWE-502) ermöglicht. Für den Angriff sind keine Anmeldung und keine Benutzerinteraktion erforderlich, weshalb ein Angreifer gezielt präparierte Anfragen an eine aus dem Internet erreichbare Website senden kann. Eine erfolgreiche Ausnutzung könnte die serverseitige Verarbeitung manipulieren und die Vertraulichkeit, Integrität und Verfügbarkeit der Website beeinträchtigen.
Betroffen
- WordPress-Theme Helion, alle Versionen bis einschliesslich 1.1.12
- CVSS 3.1 Basisscore 8.1 (CNA/NVD); VulDB nennt 7.3
Behoben in
Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version identifiziert. Neuere Versionen auf ThemeForest existieren, aber es wurde kein Changelog-Eintrag gefunden, der diese CVE nennt.
Umgehung
- Patchstack hat einen virtuellen Patch (Schutzregel) für diese Schwachstelle veröffentlicht, der über eine WAF oder einen Sicherheitsanbieter aktiviert werden kann.
- Theme deaktivieren und entfernen, falls es nicht benötigt wird.
- Keine inoffiziellen oder gecrackten Kopien des Themes verwenden.
Ausnutzung
- Bekannte Ausnutzung: zum Zeitpunkt der Erstellung keine gefunden.
- Öffentlicher Proof of Concept: keiner gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
- EPSS 0.00257 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
- Qualys hat eine Erkennung veröffentlicht, sodass Scanner betroffene Installationen nun melden können.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren, einschliesslich Staging-Websites, und prüfen, ob das Theme Helion installiert ist.
- Installierte Version bestätigen; Version 1.1.12 und älter als verwundbar behandeln.
- Changelog auf ThemeForest auf eine Sicherheitskorrektur für diese CVE prüfen und bei Bestätigung aktualisieren.
- Solange keine Korrektur bestätigt ist, virtuelles Patching über eine WAF aktivieren oder das Theme entfernen.
- Webserver-Logs auf ungewöhnliche Anfragen überwachen und die Exposition von aus dem Internet erreichbaren Websites prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- NVD record via Vulners vulners.com
- VulDB 425798 vuldb.com
- EUVD-2026-108949 vulners.com
- Hol Guard CVE summary hol.org
- ThemeForest Helion product page themeforest.net
- Qualys detection notification notifications.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.