Printy WordPress-Theme: Unauthentifizierte PHP Object Injection

Zusammenfassung

Das WordPress-Theme Printy bis und mit Version 1.13.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann serialisierte Daten manipulieren, die von der Website verarbeitet werden, was je nach installierten Plugins und verfügbarem Code zu schädlichen Aktionen auf dem Server führen kann. Die Schwachstelle ist mit CVSS 9.8 als kritisch eingestuft, und Patchstack erwartet Ausnutzung in Massenkampagnen, eine Ausnutzung wurde bisher jedoch nicht bestätigt.

Betroffen

• Printy WordPress-Theme, Versionen <= 1.13.0
• Das Begleit-Plugin ThemeREX Addons könnte betroffen sein; das Advisory gibt nicht an, ob die Schwachstelle im Theme oder im Plugin liegt
• Die Produkt- und Herstellerbezeichnung unterscheidet sich zwischen den Quellen (VulDB führt "meREX Printy Plugin")

Behoben in

Unbekannt. In den geprüften Quellen wurde keine korrigierte Version bestätigt. Die ThemeForest-Auflistung zeigt eine neuere Release-Linie (1.16.0), dies bestätigt jedoch nicht, dass CVE-2026-54858 damit behoben ist.

Umgehung

• Vom Hersteller bestätigte Workaround nicht verfügbar.
• Theme Printy und ThemeREX Addons deaktivieren und entfernen, falls nicht benötigt.
• Öffentlichen Zugriff auf den Admin-Bereich und nicht benötigte Endpunkte auf WAF-Ebene blockieren; eine WAF ist eine Übergangslösung und keine Behebung.
• Webserver-Logs auf ungewöhnliche Anfragen prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Eintrag im CISA KEV-Katalog nicht bestätigt.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, Automatisierbar ja, Technische Auswirkung total.

Unsere Empfehlung

• Alle Printy- und ThemeREX-Addons-Installationen inklusive Staging-Websites erfassen und deren Versionen dokumentieren.
• Jede Website mit Version 1.13.0 oder tiefer oder unbekannter Version als verwundbar behandeln.
• Die oben genannten Workarounds sofort anwenden und das Theme entfernen, wo es nicht benötigt wird.
• Das Advisory von Patchstack und das Changelog von ThemeREX auf eine korrigierte Version prüfen; bei fehlender Angabe ThemeREX-Support kontaktieren.
• Keine nicht lizenzierten (genullten) Kopien des Themes verwenden, da diese in der Regel keine Herstellerupdates erhalten.
• Den CISA KEV-Katalog und den Patchstack-Eintrag auf Aktualisierungen überwachen und Logs regelmässig prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB entry 428517 vuldb.com
• Vulners CVE-2026-54858 vulners.com
• ThemeREX Printy documentation doc.themerex.net
• ThemeForest Printy listing themeforest.net
• ThemeREX Printy product page themerex.net
• Strix CVE-2026-54858 www.strix.ai
• CVE triage issue (CISA KEV status, automated) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:05.