RexCoin WordPress theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme RexCoin bis einschliesslich Version 1.2.6 enthält eine unauthentifizierte PHP Object Injection Schwachstelle (CWE-502). Ein entfernter Angreifer kann ohne Anmeldung manipulierte Daten an eine öffentliche Website senden, wodurch er die serverseitige Verarbeitung beeinflussen und möglicherweise schädlichen Code ausführen kann. Patchstack stuft die Lücke als hohe Priorität mit einem CVSS-Wert von 9.8 ein und erwartet eine Ausnutzung, während der NVD-Status derzeit Deferred ist.
Betroffen
- WordPress-Theme RexCoin bis einschliesslich Version 1.2.6
- Nur Websites, auf denen dieses Theme installiert ist, sind betroffen
Behoben in
Unbekannt. Die Quellen widersprechen sich: ThemeForest listet Version 1.2.11 (zuletzt aktualisiert am 23. Oktober 2026), doch ist nicht bestätigt, dass diese Version die Behebung enthält. GPL Chimp listet 1.2.6 als neueste Version.
Umgehung
- Theme deaktivieren und entfernen, falls es nicht benötigt wird. Dies ist die einzige Massnahme, die die Exponierung eindeutig beseitigt.
- Falls das Theme online bleiben muss, Administrationszugriff einschränken, aktuelle Backups sicherstellen und beim WAF- oder Managed-WordPress-Anbieter nachfragen, ob ein Virtual Patch verfügbar ist. Für diese CVE wurde kein bestätigter Virtual Patch gefunden.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Zum Zeitpunkt der Recherche keine Meldungen über Ausnutzung in freier Wildbahn.
- Nicht gegen den CISA-KEV-Katalog verifiziert.
Unsere Empfehlung
- Alle WordPress-Websites auf das Theme RexCoin und dessen Version prüfen.
- Falls das Theme auf einer öffentlichen Website gefunden wird, zuerst entfernen oder ersetzen und danach prüfen, ob der Hersteller eine korrigierte Version veröffentlicht hat.
- Webserver-Logs seit dem 13. Oktober 2026 auf ungewöhnliche Anfragen prüfen.
- Patchstack-Seite und NVD auf Aktualisierungen überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress RexCoin theme <= 1.2.6 PHP Object Injection patchstack.com
- VulDB entry for CVE-2026-54856 vuldb.com
- Vulners CVE record CVE-2026-54856 vulners.com
- Strix CVE summary CVE-2026-54856 www.strix.ai
- ThemeForest RexCoin listing themeforest.net
- GPL Chimp RexCoin product page gplchimp.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.