Muzicon WordPress-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Muzicon bis und mit Version 1.15 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte serialisierte Daten an eine verwundbare Website sendet, kann unter Umständen die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen. Das tatsächliche Ausmass hängt von den Gadget-Ketten der installierten Plugins ab, was nicht bewertet wurde.
Betroffen
- WordPress-Theme Muzicon, Versionen bis und mit 1.15
- Hersteller laut Angabe ThemeREX (für diese Version nicht unabhängig bestätigt)
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version und kein Herstellerpatch gefunden.
Umgehung
- Das Muzicon-Theme auf öffentlich erreichbaren Websites deaktivieren oder ersetzen
- Falls eine Entfernung nicht sofort möglich ist, eine WAF-Regel vor der Website platzieren und den Administrationszugriff einschränken
- Virtuelles Patchen ist nur eine Option, wenn Ihr Schutzanbieter die Abdeckung für diese CVE bestätigt
Ausnutzung
- CISA KEV: nicht gelistet
- Öffentlicher Proof of Concept: in den geprüften Quellen keiner gefunden
- Ausnutzung in freier Wildbahn: unbekannt, keine bestätigten Berichte gefunden
- EPSS: noch nicht veröffentlicht
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren, einschliesslich Staging- und ungenutzter Websites, und erfassen, ob das Muzicon-Theme installiert ist und in welcher Version
- Das Theme auf öffentlich erreichbaren Websites entfernen oder ersetzen, diese priorisieren
- Vor endgültigen Entscheidungen das Patchstack-Advisory direkt auf eine korrigierte Version prüfen
- Webserver-Logs auf verdächtige Anfragen überwachen und in ein bis zwei Wochen erneut auf einen Herstellerpatch und einen öffentlichen PoC prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CVE record vulners.com
- Threatint CVE record cve.threatint.com
- Strix CVE record www.strix.ai
- GitHub triage record (KEV status, EPSS) github.com
- Vulners Patchstack record vulners.com
- OpenCVE record for related Muzicon CVE app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.