CleanSkin WordPress-Theme: Unauthentifizierte PHP-Object-Injection
Zusammenfassung
Das WordPress-Theme CleanSkin bis und mit Version 1.5.0 ist anfällig für eine unauthentifizierte PHP-Object-Injection (CWE-502). Ein unauthentifizierter Angreifer kann über eine öffentlich erreichbare Website manipulierte serialisierte Daten übermitteln, was die serverseitige Verarbeitung beeinflussen und je nach den im installierten Plugin und in WordPress-Core verfügbaren Klassen weitere schädliche Aktionen auf dem Server ermöglichen kann. Die CNA stuft die Lücke mit CVSS 9.8 (kritisch) ein, und Patchstack erwartet eine Ausnutzung, doch wurde zum Zeitpunkt der Recherche weder eine bekannte Ausnutzung noch ein öffentlicher Proof of Concept gefunden.
Betroffen
- CleanSkin-Theme 1.5.0 und älter (alle Installationen, gemäss Patchstack-Eintrag)
- Mitgeliefertes Plugin Slider Revolution: Version nicht überprüft
Behoben in
Unbekannt. In den überprüften Quellen ist keine korrigierte Version veröffentlicht. Neuere Versionen auf ThemeForest existieren, es ist jedoch nicht bestätigt, ob sie diese Lücke beheben.
Umgehung
- Unbekannt. Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Theme deaktivieren und entfernen, falls es nicht verwendet wird.
- WAF-Regel oder Virtual Patch anwenden, sofern der Hosting-Anbieter dies anbietet.
Ausnutzung
- Bekannt ausgenutzt: Nein (gemäss den überprüften Quellen nicht im CISA KEV).
- Öffentlicher Proof of Concept: Bei der durchgeführten Suche keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS: rund 0.004 (sehr niedrig), gemäss Vulners.
Unsere Empfehlung
- Installierte CleanSkin-Version in WordPress unter Design > Themes prüfen.
- Auf die neueste Version von ThemeForest aktualisieren und im Changelog bestätigen, dass diese Lücke behoben ist.
- Version des Plugins Slider Revolution prüfen und ebenfalls aktualisieren.
- Falls keine korrigierte Version verfügbar ist, Theme deaktivieren und den Zugriff mit einer WAF oder einem Virtual Patch einschränken.
- Backup erstellen und auf unerwartete Administratorkonten und Dateiänderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-42723 app.opencve.io
- Vulners CVE-2026-42723 vulners.com
- HOL Guard CVE-2026-42723 hol.org
- Strix CVE-2026-42723 www.strix.ai
- ThemeForest CleanSkin theme themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.