Quirky WordPress Theme: PHP Object Injection in Versionen bis 1.23

Zusammenfassung

Das WordPress-Theme Quirky in den Versionen bis und mit 1.23 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über eine öffentliche Website manipulierte serialisierte Daten senden, was die serverseitige Verarbeitung beeinflussen und je nach verfügbaren PHP-Klassen zu Codeausführung oder anderen schwerwiegenden Auswirkungen führen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch); die tatsächlichen Auswirkungen pro Website konnten nicht verifiziert werden.

Betroffen

• WordPress-Theme Quirky, Versionen bis und mit 1.23
• Angaben zu Hersteller und Versionen sind teilweise nicht verifiziert; der ursprüngliche Entwickler konnte nicht bestätigt werden

Behoben in

Unbekannt. Es wurde keine korrigierte Version und keine Herstellerwarnung gefunden.

Umgehung

• Prüfen, ob das Theme Quirky auf einer WordPress-Website installiert und aktiv ist
• Eine Web Application Firewall oder einen Dienst für virtuelles Patchen einsetzen, sofern verfügbar; die Abdeckung dieser CVE ist nicht verifiziert
• Zugriff auf administrative Bereiche soweit praktikabel einschränken

Ausnutzung

• Nicht authentifiziert und über das Netzwerk erreichbar, geringe Angriffskomplexität
• Zum Zeitpunkt der Recherche nicht im CISA KEV aufgeführt; EPSS noch nicht veröffentlicht
• Kein öffentlicher Proof of Concept gefunden; Ausnutzung in freier Wildbahn unbekannt

Unsere Empfehlung

• Umgehend prüfen, ob eine öffentlich erreichbare Website das Theme Quirky in Version 1.23 oder älter verwendet
• Da keine Korrektur bestätigt ist, das Theme entfernen und durch ein gewartetes Theme ersetzen
• Falls eine Entfernung nicht möglich ist, virtuelles Patchen anwenden und Patchstack sowie CISA KEV auf Updates überwachen
• Website-Logs auf verdächtige Anfragen an das Theme prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack vulnerability record patchstack.com
• Vulners CVE record vulners.com
• Strix CVE record www.strix.ai
• CVE threat intelligence record cve.threatint.com
• GitHub CVE tracking issue github.com
• Wordfence advisory for related Quirky issue www.wordfence.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:04.