ThemeREX Nuts-Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Nuts bis einschliesslich Version 1.12 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann mit einer präparierten Anfrage beeinflussen, wie die Website Daten verarbeitet, was zu schädlichen Aktionen auf dem Server führen kann, etwa zum Lesen oder Verändern von Daten sowie zu Störungen der Website. Das Theme wird für Glücksspiel- und Casino-Websites verkauft; der Hersteller hat keine Korrektur veröffentlicht, und die Zuordnung zum Produkt beruht auf Drittquellen.
Betroffen
- WordPress-Theme Nuts, Versionen bis einschliesslich 1.12
- Hersteller- und Produktzuordnung basierend auf dem Patchstack-Advisory und dem ThemeForest-Eintrag; nicht durch eine Herstellerangabe bestätigt
Behoben in
Unbekannt.
- Laut Patchstack ist kein offizieller Patch verfügbar
- Keine korrigierte Version identifiziert
Umgehung
- Das Theme Nuts deaktivieren oder ersetzen; es existiert kein Patch
- Die Website auf ein nicht betroffenes Theme umstellen
- Optional eine Web Application Firewall mit Virtual Patching vor der Website betreiben; deren Abdeckung dieser Schwachstelle ist nicht überprüft
- Den Zugriff auf die WordPress-Administration nach Möglichkeit einschränken
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: nicht bestätigt
- Nicht im CISA-KEV-Katalog aufgeführt (gemäss gespiegelten NVD-Daten)
- Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose
- EPSS: noch nicht veröffentlicht
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist
Unsere Empfehlung
- Alle WordPress-Websites auf das Theme Nuts prüfen, einschliesslich Staging-Websites und Child-Themes
- Falls vorhanden, deaktivieren oder ersetzen, da kein Patch existiert
- Falls die Website vorübergehend online bleiben muss, eine Web Application Firewall einsetzen und die Logs auf verdächtige Anfragen prüfen
- Auf einen Herstellerhinweis, einen KEV-Eintrag oder EPSS-Daten achten und diesen Eintrag in einer Woche erneut prüfen
- Beachten, dass der CVSS-Wert je nach Quelle abweicht (9.8 in NVD, 7.3 in VulDB); für die Priorisierung 9.8 verwenden
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry 428544 vuldb.com
- CVE mirror data (threatint) cve.threatint.com
- Strix CVE page www.strix.ai
- Vulners CVE record vulners.com
- ThemeForest listing (Nuts) themeforest.net
- GitHub triage issue (EPSS/KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.