Motorix WordPress-Theme: PHP Object Injection ohne Authentifizierung

Zusammenfassung

Das WordPress-Theme Motorix bis und mit Version 1.11 enthält eine PHP Object Injection ohne Authentifizierung (CWE-502). Ein Angreifer kann über das Netzwerk ohne Anmeldung manipulierte serialisierte Daten senden, wodurch er die Verarbeitung von Daten beeinflussen und schädliche Aktionen auf dem Server ausführen kann. Eine Remote Code Execution wird von einem Drittanbieter-Aggregator gemeldet, ist im Haupt-Advisory aber nicht bestätigt; ob die Lücke ausnutzbar ist, hängt vom installierten Code jeder Website ab.

Betroffen

• WordPress-Theme Motorix bis und mit 1.11 (Patchstack: "<= 1.11")
• VulDB führt die Komponente als WordPress-Plugin (Motorix Plugin); prüfen Sie, ob das installierte Theme oder das mitgelieferte Plugin betroffen ist
• Unbekannt: genaue Komponente und Versionsbereiche, ausstehend der Advisory-Text von Patchstack

Behoben in

Unbekannt. Es wurde kein Hersteller-Advisory und kein gepatchtes Release identifiziert. Patchstack meldet, dass kein offizieller Patch verfügbar ist.

Umgehung

• Patchstack hat eine Schutzregel (Virtual Patch) bereitgestellt, falls Sie den Patchstack-Schutz nutzen
• Zugriff auf Verwaltungs- und Formularendpunkte nach Möglichkeit einschränken
• Vor jeder Änderung ein geprüftes Backup erstellen
• Hinweis: Das Theme muss ggf. entfernt oder deaktiviert werden, falls kein gepatchtes Release existiert; dies ist eine Annahme, die auf Ihrer Website zu prüfen ist

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA KEV gelistet
• Kein öffentlicher Proof of Concept eines seriösen Forschers gefunden (VulDB: kein verfügbarer Exploit)
• Patchstack erwartet eine Ausnutzung und beschreibt das Risiko von Massenangriffen für diese Schwachstellenklasse
• EPSS noch nicht veröffentlicht

Unsere Empfehlung

• Prüfen Sie, ob auf einer Website das Motorix-Theme oder das Motorix-Plugin in Version 1.11 oder älter läuft
• Behandeln Sie öffentlich erreichbare Websites als dringlich: Virtual Patch oder WAF-Regel anwenden, Zugriff einschränken oder die Website auf ein anderes Theme umstellen
• Komponente entfernen oder deaktivieren, falls keine gepatchte Version verfügbar ist
• Auf unerwartete Administratoren, veränderte Dateien und neue PHP-Dateien im Upload-Verzeichnis achten
• CVSS-Wert und Status im Patchstack-Advisory und in der NVD prüfen, da die Quellen abweichen (9.8, 8.1, 7.3, 5.9)

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-62004 patchstack.com
• VulDB entry 428548 vuldb.com
• GitHub issue tracker entry CVE-2026-62004 github.com
• Strix CVE-2026-62004 www.strix.ai
• Vulners CVE-2026-62004 vulners.com
• ThemeREX Motorix product page themerex.net
• ThemeForest Motorix listing themeforest.net
• Motorix documentation (ThemeREX) doc.themerex.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:54.