Marcell WordPress-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Marcell bis und mit Version 1.2.14 ist von einer unauthentifizierten PHP Object Injection betroffen (CWE-502). Ein nicht angemeldeter Angreifer aus dem Netz kann präparierte Daten an die Website senden, was es ihm ermöglichen kann, die Datenverarbeitung zu manipulieren und potenziell schädliche Aktionen auf dem Server auszuführen. NVD stuft die Schwachstelle mit 9.8 (Critical) ein, VulDB mit 7.3. Ein Herstellerpatch ist nicht bestätigt, und es wurde weder ein öffentlicher Exploit noch eine bekannte Ausnutzung in freier Wildbahn gefunden.
Betroffen
- Marcell WordPress-Theme, Versionen bis und mit 1.2.14
- Hersteller: ThemeREX (gemäss ThemeForest-Eintrag; nicht auf einer Herstellerseite verifiziert)
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt. Der neueste öffentliche Changelog-Eintrag ist Version 1.2.14 (21.04.2025).
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Patchstack bietet für hoch priorisierte Schwachstellen möglicherweise einen Virtual Patch an; bei einem Abonnement die Verfügbarkeit für diese CVE prüfen.
Ausnutzung
- Kein öffentlicher Proof of Concept bekannt.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Strix führt KEV: No (CISA KEV nicht direkt geprüft).
- Patchstack beschreibt die Schwachstelle als wahrscheinlich für Massenkampagnen ausgenutzt.
- VulDB bewertet die Ausnutzung als einfach (Einschätzung eines Drittanbieters).
Unsere Empfehlung
- Prüfen, ob Marcell auf einer Website installiert ist, einschliesslich Staging- und alter Websites, und welche Version verwendet wird.
- Falls installiert und keine verifizierte korrigierte Version existiert, ein Ersatz-Theme planen oder das Theme entfernen, sofern es nicht genutzt wird.
- Beim Hosting-Provider oder bei der Webentwicklung nach einem Virtual Patch oder einer WAF-Regel fragen.
- Zugriff einschränken oder überwachen, Backups sicherstellen und Logs auf ungewöhnliche Anfragen an das Theme prüfen.
- ThemeForest-Changelog und Hersteller auf Updates prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry 428535 vuldb.com
- Strix CVE-2026-62001 www.strix.ai
- Vulners Patchstack record vulners.com
- ThemeForest Marcell listing themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.