Gamezone WordPress theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Gamezone von ThemeREX enthält bis und mit Version 1.1.11 eine unauthentifizierte PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte Daten an die Website senden, was je nach den in der Installation verfügbaren Gadget-Klassen zu schädlichen Aktionen auf dem Server führen kann, etwa zur Codeausführung. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und keine Herstellerwarnung gefunden, und der NVD-Status lautet Deferred.
Betroffen
- Gamezone WordPress theme, alle Versionen bis und mit 1.1.11
Behoben in
Unbekannt.
- Zum Zeitpunkt der Erstellung hat der Hersteller keine korrigierte Version bestätigt.
Umgehung
- Der Hersteller hat keine Workaround veröffentlicht.
- Theme entfernen oder ersetzen, falls es installiert oder aktiv ist.
- Zugriff auf die Website mit einer WAF mit Virtual Patching einschränken, sofern eine Regel für diese CVE verfügbar ist.
Ausnutzung
- Zum Zeitpunkt der Erstellung nicht im CISA-KEV-Katalog aufgeführt.
- Keine Berichte über Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
- Noch kein EPSS-Wert veröffentlicht.
- Für die Schwachstelle ist keine Authentifizierung nötig (PR:N, AV:N), was das Risiko erhöht, wenn das Theme erreichbar ist.
Unsere Empfehlung
- Sofort prüfen, ob das Gamezone-Theme auf einer Website installiert oder aktiv ist, auch auf Staging-Systemen und in alten Theme-Verzeichnissen.
- Falls es im Einsatz ist, durch ein gepflegtes Theme ersetzen oder den Zugriff hinter einer WAF mit Virtual Patching einschränken.
- WordPress-Core, PHP und alle Plugins aktuell halten und nicht benötigte Plugins entfernen.
- Webserver-Logs auf ungewöhnliche POST-Anfragen prüfen.
- Patchstack-Warnung und CISA KEV auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Gamezone theme <= 1.1.11 PHP Object Injection patchstack.com
- ThemeForest: Gamezone theme listing themeforest.net
- CVE-2026-62015 record summary (threatint) cve.threatint.com
- CVE-2026-62015 record summary (Strix) www.strix.ai
- Vulners: Patchstack entry for CVE-2026-62015 vulners.com
- EPSS status discussion for CVE-2026-62015 github.com
- Related Gamezone flaw CVE-2026-28090 cyberstrike.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.