ThemeREX Royal Event: PHP Object Injection durch Deserialisierung unsicherer Daten

Zusammenfassung

Das WordPress-Theme ThemeREX Royal Event in Versionen bis einschliesslich 2.0 (untere Grenze unbekannt) deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Ein nicht authentifizierter Angreifer aus der Ferne kann dies ohne Benutzerinteraktion ausnutzen, wodurch die serverseitige Verarbeitung manipuliert werden kann und je nach verfügbaren Gadget-Ketten in den Plugins der Website Remote Code Execution oder Datenkompromittierung möglich sind. Patchstack bewertet die Schwachstelle mit CVSS 3.1 als 9.8 (kritisch), VulDB mit 7.3. Zum Zeitpunkt der Erfassung ist keine Ausnutzung in freier Wildbahn bekannt.

Betroffen

• ThemeREX Royal Event Theme, von n/a bis einschliesslich 2.0 (gemäss CVE-Eintrag und Patchstack)
• Die Versionsnummerierung ist unklar: Der ThemeForest-Changelog führt 2.10.0 und 2.11.0 auf, und es ist unbekannt, ob sich '2.0' auf dasselbe Nummerierungsschema bezieht.

Behoben in

Unbekannt. Weder der Hersteller noch Patchstack haben eine korrigierte Version bestätigt.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; zum Zeitpunkt der Erfassung nicht im CISA-KEV-Katalog.
• Zum Zeitpunkt der Erfassung ist kein öffentlicher Exploit oder PoC bekannt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Patchstack erwartet eine Ausnutzung und stuft die Schwachstelle als hohe Priorität ein.

Unsere Empfehlung

• Prüfen Sie, ob Royal Event auf einer Website installiert ist, auch als inaktive Kopie.
• Aktualisieren Sie auf die neueste ThemeForest-Version und prüfen Sie den Changelog auf eine Sicherheitskorrektur zu dieser Schwachstelle.
• Falls das Theme nicht genutzt wird, deaktivieren und entfernen Sie es.
• Beschränken Sie den Zugriff auf Admin- und AJAX-Endpunkte soweit möglich; setzen Sie eine Web Application Firewall oder ein Patchstack Virtual Patch ein, falls verfügbar.
• Erstellen Sie vor Änderungen ein Backup.
• Beobachten Sie das Patchstack-Advisory und die NVD auf eine bestätigte Korrektur und prüfen Sie dies in den kommenden Tagen erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB entry vuldb.com
• OffSeq threat radar radar.offseq.com
• ThemeForest Royal Event item page themeforest.net
• ThemeREX Royal Event documentation doc.themerex.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:21.