Coinpress WordPress-Theme: Nicht authentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Coinpress bis einschliesslich Version 1.0.15 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte Eingaben an die betroffene Website senden kann, kann die Datenverarbeitung manipulieren und unter Umständen schädliche Aktionen auf dem Server ausführen. Die NVD bewertet die Schwachstelle mit CVSS 3.1 9.8 (Kritisch), VulDB mit 7.3 und Vulners mit 5.9; die Bewertungen weichen somit voneinander ab, weshalb bis zur Patchstack-Beratung der höhere Wert für die Planung gilt.
Betroffen
- WordPress-Theme Coinpress, Versionen bis einschliesslich 1.0.15
- Herstellername unbestätigt: ThemeREX laut ThemeForest, meREX laut VulDB
Behoben in
Unbekannt. In den Primärquellen ist keine Herstellerkorrektur bestätigt. Reseller-Seiten nennen Version 1.0.16, dies ist jedoch nicht als Korrektur für diese CVE verifiziert.
Umgehung
- Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden.
- Theme auf öffentlichen Websites deaktivieren oder ersetzen.
- Zugriff auf den Administrationsbereich und sensible Funktionen einschränken.
- WAF oder Virtual Patching einsetzen, sofern verfügbar; die Abdeckung dieser CVE ist nicht verifiziert.
Ausnutzung
- Im Rahmen der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden; die CISA-SSVC-Bewertung lautet Exploitation: none, Automatable: yes, Technical Impact: total.
- Kein öffentlicher Proof-of-Concept gefunden.
- Patchstack bezeichnet die Schwachstelle als hochgefährlich und erwartet eine Ausnutzung; die CVE gehört zu einer Reihe ähnlicher WordPress-Theme-Meldungen.
Unsere Empfehlung
- Alle WordPress-Websites mit dem Coinpress-Theme identifizieren und die installierte Version erfassen.
- Patchstack-Beratung und Changelog des Herstellers auf eine verifizierte korrigierte Version prüfen; sich nicht auf Reseller-Seiten verlassen.
- Falls keine verifizierte Korrektur existiert, das Theme auf exponierten öffentlichen Websites ersetzen.
- Logs und Dateiintegrität auf Websites prüfen, die das Theme während der Exposition betrieben haben, und vor und nach Änderungen ein Backup erstellen.
- Öffentliche Websites priorisieren; das Risiko ist geringer, wenn das Theme inaktiv ist und seine Dateien nicht erreichbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- Vulners CVE record vulners.com
- Strix CVE summary www.strix.ai
- ThemeForest listing themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.