ThemeREX Orpheus: PHP Object Injection durch nicht authentifizierte Benutzer
Zusammenfassung
Das WordPress-Theme Orpheus bis einschliesslich Version 1.8 ist von einer nicht authentifizierten PHP-Object-Injection-Schwachstelle (CWE-502) betroffen. Ein Angreifer im Netzwerk kann ohne Konto manipulierte Daten an die Website senden, was die serverseitige Verarbeitung beeinflussen und schädliche Aktionen auf dem Server ermöglichen kann. Die NVD bewertet die Schwachstelle als kritisch (CVSS 3.1 9.8), VulDB vergibt 7.3; ein Herstellerfix ist nicht bestätigt.
Betroffen
- WordPress-Theme Orpheus (ThemeREX) bis einschliesslich 1.8
- Einige Quellen nennen stattdessen ein Plugin; der Produkttyp muss auf einer realen Installation überprüft werden
Behoben in
- Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version bestätigt.
- Den Patchstack-Eintrag und das ThemeREX-Changelog auf eine Version nach 1.8 prüfen.
Umgehung
- Prüfen, ob das Theme installiert ist und welche Version aktiv ist.
- Das Theme entfernen, falls es nicht benötigt wird.
- Falls es benötigt wird, den Zugriff auf die Website wo möglich einschränken.
- Beim Managed-WordPress- oder WAF-Anbieter nachfragen, ob ein Virtual Patch verfügbar ist.
- Das begleitende Plugin ThemeREX Addons aktuell halten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Der von einem Drittanbieter gemeldete KEV-Status lautet Nein; auf dem CISA-Katalog überprüfen.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
- CISA SSVC: Automatisierbar ja, technische Auswirkung total.
- Patchstack beschreibt die Schwachstelle als hochgefährlich und erwartet eine Ausnutzung.
Unsere Empfehlung
- WordPress-Installationen auf das Orpheus-Theme und dessen Version prüfen.
- Nicht benötigte Installationen entfernen oder isolieren.
- Auf öffentlich erreichbaren Websites mit Version 1.8 oder älter Massnahmen anwenden und beim Hersteller oder Hosting-Anbieter nach einem Fix fragen.
- Auch die Version des Plugins ThemeREX Addons prüfen.
- Web-Server- und Anwendungslogs auf ungewöhnliche Anfragen prüfen, falls eine verwundbare Website exponiert war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- Vulners CVE record vulners.com
- ThemeForest product page themeforest.net
- ThemeREX Addons plugin advisory (CVE-2026-62105) hol.org
- ThemeREX Addons vulnerability fixed themerex.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.