Vagabonds WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Vagabonds bis und mit Version 1.3.10 deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Patchstack stuft die Schwachstelle als kritisch ein (CVSS 9.8) und gibt an, dass sie ohne Authentifizierung ausgelöst werden kann. Je nach verfügbaren Gadget-Ketten könnte ein Angreifer die serverseitige Verarbeitung manipulieren und möglicherweise Code auf dem Webserver ausführen. Eine offizielle Korrektur ist nicht bestätigt, und es wurden weder ein öffentlicher Proof of Concept noch eine bestätigte Ausnutzung gefunden.
Betroffen
- WordPress-Theme Vagabonds, Versionen bis und mit 1.3.10 (gemäss Patchstack und CVE-Eintrag)
- Hersteller- und Versionsbezeichnung sind zu überprüfen: Das ThemeForest-Angebot nennt AxiomThemes als Autor
- Raubkopien oder Nulled-Versionen des Themes sind wahrscheinlich ebenfalls betroffen
Behoben in
Unbekannt. Patchstack und der Hersteller bestätigen keinen offiziellen Patch. Neuere Versionen (zum Beispiel 1.3.12 und 1.3.14 auf ThemeForest) sind nicht bestätigt als Korrektur für diese CVE.
Umgehung
- Theme entfernen oder deaktivieren, falls es nicht benötigt wird, und auf ein gepflegtes Theme wechseln
- Virtuellen Patch anwenden (zum Beispiel die Patchstack-Schutzregel) und den Zugriff auf wp-admin nach Möglichkeit einschränken; eine WAF-Regel ist eine Übergangslösung, keine Behebung
- Vor Änderungen eine Sicherung der Website erstellen
Ausnutzung
- Bekannte Ausnutzung: nicht bestätigt; kein Eintrag im CISA-KEV-Katalog gefunden
- Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose und kein Beleg
- Öffentlicher Proof of Concept: in den Recherchen nicht gefunden
- EPSS: 0.00313 (geringe modellierte Wahrscheinlichkeit für die nächsten 30 Tage)
- Erforderliche Berechtigung: nicht authentifiziert
Unsere Empfehlung
- Alle Websites mit diesem Theme identifizieren, inklusive Staging-Umgebungen und Nulled-Versionen
- Theme ersetzen oder deaktivieren, wo es nicht benötigt wird
- Jetzt einen virtuellen Patch oder eine Zugriffsbeschränkung anwenden und auf eine Herstellerkorrektur achten
- Auf Kompromittierung prüfen: unbekannte Admin-Benutzer, veränderte PHP-Dateien, unerwartete Uploads
- Patchstack-Eintrag, ThemeForest-Changelog und NVD auf eine bestätigte korrigierte Version prüfen, bevor der Vorgang geschlossen wird
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- EUVD-2026-108947 vulners.com
- Vulners NVD record CVE-2026-112856 vulners.com
- HOL CVE entry hol.org
- ThemeForest product page themeforest.net
- ThemeREX product page themerex.net
- OWASP PHP Object Injection community.owasp.org
- Patchstack PHP object injection article patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.