Edge Decor WordPress-Theme: Nicht authentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Edge Decor bis und mit Version 2.9 enthält eine nicht authentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an eine verwundbare Website senden, womit sich die serverseitige Verarbeitung beeinflussen lässt. Ob daraus eine Codeausführung entsteht, hängt von den im Theme und in anderen installierten Plugins verfügbaren Gadget-Ketten ab.
Betroffen
- Edge Decor-Theme (WordPress), Versionen 2.9 und älter
- Hersteller: ThemeREX (ThemeForest-Artikel)
Behoben in
Unbekannt.
- In den Quellen wurde keine bestätigte gepatchte Version gefunden.
Umgehung
Unbekannt.
- Keine verifizierte Massnahme des Herstellers. Fragen Sie den Hosting-Anbieter oder Entwickler, ob ein Fix oder ein virtueller Patch (WAF-Regel) verfügbar ist.
Ausnutzung
- Laut Patchstack und VulDB nicht authentifiziert und aus der Ferne ausnutzbar.
- CISA SSVC: automatisierbar ja, Ausnutzung zum Zeitpunkt der Bewertung keine.
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; kein öffentlicher Exploit gefunden.
Unsere Empfehlung
- Prüfen Sie, ob das Edge Decor-Theme auf einer WordPress-Website installiert ist, und bestätigen Sie die Version.
- Falls installiert und Version 2.9 oder älter: Ersatz oder Deaktivierung des Themes planen, bis ein Fix bestätigt ist.
- Fragen Sie den Hosting-Anbieter oder Entwickler nach einem Fix oder einer WAF-Regel.
- Prüfen Sie die Webserver-Logs auf ungewöhnliche Anfragen mit serialisierten Daten.
- Erstellen Sie Backups und beobachten Sie Herstellerhinweise und Patchstack auf ein Update.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62013 patchstack.com
- VulDB entry 428552 vuldb.com
- Vulners CVE-2026-62013 vulners.com
- Vulners Patchstack entry vulners.com
- ThemeForest Edge Decor themeforest.net
- Third-party tracker (KEV status) github.com
- Patchstack PHP Object Injection academy patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.