ThemeREX Mission WordPress-Theme: PHP Object Injection
Zusammenfassung
Das WordPress-Theme Mission bis Version 1.22 enthält eine PHP Object Injection Schwachstelle (CWE-502), die ohne Authentifizierung ausgelöst werden kann. Ein Angreifer kann präparierte Daten senden, die die Anwendung deserialisiert, wodurch er die Anwendungslogik manipulieren und je nach verfügbaren Gadget-Chains auf dem Server Code ausführen kann. Patchstack stuft die Schwachstelle mit CVSS 9.8 und hoher Priorität ein. Öffentliche Websites sind bauartbedingt aus dem Internet erreichbar, daher ist die Exponierung hoch.
Betroffen
- WordPress-Theme Mission, Version 1.22 und älter (<= 1.22)
- Die Quellen widersprechen sich bezüglich des Komponententyps (Theme oder Plugin) und des Herstellernamens; auf der Website überprüfen
Behoben in
Unbekannt. Zum Stand 30. Okt. 2026 ist kein offizieller Patch verfügbar.
Umgehung
- Patchstack hat einen virtuellen Patch (Mitigationsregel) bereitgestellt, der Angriffe blockiert; dies ist keine Code-Korrektur
- Eine WAF-Regel vor der Website platzieren und den Zugriff auf wp-admin und admin-ajax.php wo möglich einschränken
- Das Theme durch ein gepflegtes Theme ersetzen, falls es nicht geschäftskritisch ist
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Patchstack erwartet aufgrund des Schweregrads eine Ausnutzung; dies ist eine Prognose, keine Beobachtung.
- Laut einem GitHub-Triage-Issue nicht im CISA-KEV-Katalog aufgeführt; im Katalog direkt überprüfen.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Alle Websites mit Mission 1.22 oder älter identifizieren und Theme-Name und Version unter Darstellung > Designs prüfen.
- Öffentliche Websites priorisieren und die Schwachstelle als hoch einstufen, solange kein Patch verfügbar ist.
- Das Theme ersetzen oder den virtuellen Patch aktiv halten und eine WAF vor die Website schalten.
- Backups erstellen, die Dateiintegrität überwachen und auf unerwartete PHP-Dateien prüfen.
- Patchstack und NVD täglich auf einen Herstellerpatch oder Anzeichen einer Ausnutzung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Mission theme <= 1.22 PHP Object Injection patchstack.com
- Patchstack: Mission theme PHP Object Injection (canonical) patchstack.com
- CVE Brief: CVE-2026-62003 archive cvebrief.com
- GitHub triage issue (KEV status) github.com
- VulDB entry 428542 vuldb.com
- CVE-2026-62003 summary (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.