Le Truffe WordPress-Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Le Truffe bis und mit Version 1.1.7 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausnutzbar ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann manipulierte serialisierte Daten an die Website senden, was je nach Code auf dem Server zu Codeausführung, Dateimanipulation oder Denial of Service führen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch), und Patchstack erwartet Massenausnutzung.
Betroffen
- Le Truffe WordPress-Theme, Versionen bis und mit 1.1.7
- Hersteller des Themes: ThemeREX (laut CVE-Eintrag)
Behoben in
Unbekannt. In den geprüften Quellen wurde keine korrigierte Version gefunden.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Patchstack meldet eine Mitigationsregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist.
Ausnutzung
- Ohne Authentifizierung und über das Netzwerk erreichbar, keine Benutzerinteraktion nötig
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; Patchstack hält eine Ausnutzung für wahrscheinlich
Unsere Empfehlung
- Prüfen, ob eine Website das Le Truffe-Theme verwendet (Darstellung > Themes oder Theme-Ordner)
- Falls installiert und keine Korrektur verfügbar ist, auf ein gepflegtes Theme wechseln und nicht genutzte Kopien des Themes löschen
- Bis zur Verfügbarkeit einer Korrektur eine Web Application Firewall oder einen virtuellen Patch vor der Website in Betracht ziehen
- WordPress-Core, Plugins und PHP aktuell halten
- Den Patchstack-Eintrag auf eine korrigierte Version überwachen und Webserver-Logs auf verdächtige Anfragen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: Le Truffe theme PHP Object Injection patchstack.com
- Vulners CVE-2026-61998 vulners.com
- Vulners Patchstack entry vulners.com
- CVE-2026-61998 threatint record cve.threatint.com
- Strix AI CVE-2026-61998 www.strix.ai
- GitHub issue listing CISA KEV status github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.