Legal Stone WordPress-Theme: PHP Object Injection
Zusammenfassung
Das WordPress-Theme Legal Stone bis einschliesslich Version 1.2.11 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausgenutzt werden kann. Ein nicht authentifizierter Angreifer kann serialisierte Daten manipulieren, die von der Website verarbeitet werden, wodurch schädliche Aktionen auf dem Server ausgeführt werden können. Patchstack stuft die Schwachstelle als kritisch (CVSS 9.8) ein und erwartet eine Ausnutzung; eine korrigierte Version oder ein öffentlicher Exploit ist jedoch nicht bestätigt.
Betroffen
- WordPress-Theme Legal Stone, Versionen bis einschliesslich 1.2.11
- Child-Themes auf Basis von Legal Stone (nicht verifiziert)
Behoben in
Unbekannt. Weder der Hersteller noch der CNA haben eine korrigierte Version bestätigt.
Umgehung
- Theme deaktivieren, falls es nicht benötigt wird, und auf ein gewartetes Theme wechseln
- Beim WAF- oder Sicherheitsdienstleister nachfragen, ob eine Virtual-Patch-Regel existiert; diese nur als vorübergehende Massnahme betrachten
- Zugriff auf wp-admin und XML-RPC nach Möglichkeit auf IP-Adressen beschränken
- WordPress-Core, PHP und weitere Plugins aktuell halten
- Vor Änderungen ein aktuelles Backup erstellen
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden
- Nicht im CISA KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept bestätigt
- VulDB schätzt den Exploit-Preis auf ca. USD 0 bis 5k
Unsere Empfehlung
- Alle Kundenwebsites mit WordPress auf das Theme Legal Stone und dessen Version prüfen, inklusive Child-Themes
- Bei Installation und fehlender bestätigter korrigierter Version das Theme deaktivieren und eine Migration planen, zuerst bei aus dem Internet erreichbaren Websites
- Webserver-Logs auf ungewöhnliche Anfragen an das Theme prüfen
- Patchstack-Advisory und NVD auf Aktualisierungen überwachen, da der NVD-Status Deferred ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-61997 patchstack.com
- VulDB entry 428539 vuldb.com
- GitHub triage record CVE-2026-61997 github.com
- Strix CVE-2026-61997 www.strix.ai
- ThreatInt CVE-2026-61997 cve.threatint.com
- ThemeForest Legal Stone listing themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.