Holistic Center WordPress-Theme: PHP Object Injection
Zusammenfassung
Das WordPress-Theme Holistic Center von axiomthemes bis und mit Version 1.2.6 enthält eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten, die PHP Object Injection ermöglicht. Gemäss Patchstack kann ein nicht authentifizierter Angreifer manipulierte Daten an die Website senden, um deren Datenverarbeitung zu beeinflussen und schädliche Aktionen auf dem Server auszuführen. Das Theme läuft auf der öffentlichen Website, weshalb exponierte Seiten vermutlich ohne Anmeldung erreichbar sind.
Betroffen
- WordPress-Theme Holistic Center, Versionen 0 bis und mit 1.2.6
- Patchstack gibt den betroffenen Bereich als <= 1.2.6 an
Behoben in
Unbekannt. Für diese CVE wurde weder ein Herstellerhinweis noch eine korrigierte Version bestätigt.
Umgehung
- Prüfen, ob das Theme auf jeder Website aktiv ist; falls nicht benötigt, entfernen
- Falls benötigt, die Website auf ein anderes Theme umstellen oder hinter einen verwalteten Virtual-Patching-Dienst stellen
- Zugriff auf den WordPress-Admin-Bereich einschränken und WordPress-Core sowie andere Plugins aktuell halten
Ausnutzung
- Bekannte Ausnutzung in freier Wildbahn: keine Hinweise gefunden
- Öffentlicher Proof of Concept: keiner gefunden
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total
- Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose und kein beobachteter Angriff
- EPSS ist tief (etwa 0.3%)
Unsere Empfehlung
- Prüfen, ob auf Websites Holistic Center bis und mit Version 1.2.6 läuft und ob das Theme aktiv ist
- Betroffene Websites als hohe Priorität behandeln und eskalieren, wenn sie einen Shop betreiben oder Kunden- bzw. Mitarbeiterdaten verarbeiten
- Ungenutztes Theme entfernen oder bis zu einer bestätigten Korrektur ein Virtual Patch einsetzen bzw. auf ein anderes Theme wechseln
- Hersteller und Patchstack auf einen Advisory überwachen und Website-Logs auf ungewöhnliche Anfragen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- NVD mirror (Vulners) vulners.com
- Strix CVE page www.strix.ai
- VulDB entry vuldb.com
- Install Guard (HOL) hol.org
- ThemeForest listing themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.