Preservation WordPress-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Preservation bis einschliesslich Version 1.15 enthält eine unauthentifizierte PHP Object Injection (CWE-502). Ein nicht angemeldeter Angreifer kann manipulierte serialisierte Daten übermitteln, die das Theme verarbeitet, wodurch die Anwendungslogik beeinflusst werden und weitere Aktionen auf dem Server möglich werden können. Ob Codeausführung möglich ist, hängt von Gadget-Ketten in anderen installierten Plugins oder Themes ab, was für dieses Theme nicht bestätigt ist. Der NVD-Score beträgt 9.8 (Critical), der NVD-Eintrag befindet sich jedoch noch im Status Deferred.
Betroffen
- WordPress-Theme Preservation, Versionen <= 1.15
- Hersteller und Entwickler: Unbekannt.
Behoben in
Unbekannt. In den geprüften Quellen wurde keine gepatchte Version gefunden; Patchstack listet keinen offiziellen Patch.
Umgehung
- Keine Mitigation des Herstellers gefunden.
- Theme deaktivieren und bei Verfügbarkeit auf ein gepflegtes, gepatchtes Theme wechseln.
- WAF oder Virtual Patch vor der Website einsetzen (Abdeckung für diese CVE nicht verifiziert).
- Zugriff auf den Admin-Bereich einschränken.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Nicht gefunden. Ein Aggregator führt die CVE nicht im KEV-Katalog; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Öffentlicher Proof of Concept: Nicht gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Patchstack erwartet eine Ausnutzung und verweist auf Massenausnutzungskampagnen bei dieser Fehlerklasse.
Unsere Empfehlung
- Prüfen, ob WordPress-Websites das Theme Preservation einsetzen, und die installierte Version bestätigen.
- Aus dem Internet erreichbare Websites mit diesem Theme als hohe Priorität behandeln.
- Falls kein Fix verfügbar ist, Theme deaktivieren oder einen Virtual Patch einsetzen.
- Auf einen öffentlichen PoC, einen KEV-Eintrag und Statusänderungen bei der NVD achten.
- Patchstack-Advisory auf eine gepatchte Version prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CVE record vulners.com
- Vulners Patchstack entry vulners.com
- Patchstack PHP Object Injection academy patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.