Gamic WordPress Theme: Nicht authentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Gamic bis einschliesslich Version 1.19 ist anfällig für PHP Object Injection (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer kann die Verarbeitung serialisierter Daten manipulieren, was schädliche Aktionen auf dem Server ermöglichen kann. Ob daraus eine Codeausführung oder Datenkompromittierung entsteht, hängt von anderen installierten Plugins oder Themes mit ausnutzbaren Gadget-Ketten ab; dies ist für das Theme allein nicht belegt.
Betroffen
- WordPress-Theme Gamic, Versionen 1.19 und früher (gemäss Patchstack und NVD)
- Hinweis: VulDB beschreibt das Produkt als Plugin; Patchstack und das ThemeForest-Listing identifizieren es als Theme.
Behoben in
Unbekannt. Keine bestätigte korrigierte Version. Das ThemeForest-Changelog erwähnt eine Korrektur zu PHP Object Injection in trx_addons_decode_settings() in Einträgen für Versionen vor 1.19.0 und vor 1.21.0, jedoch ist nicht verifiziert, ob es sich um dasselbe Problem handelt.
Umgehung
- Keine vom Hersteller bestätigte Massnahme.
- Zugriff auf Administrations- und sensible Endpunkte nach Möglichkeit einschränken.
- Eine Web Application Firewall vor der Website einsetzen; Patchstack meldet, dass eine Schutzregel verfügbar ist.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA KEV-Katalog gelistet.
- In den geprüften Quellen wurden kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung gefunden.
- Patchstack stuft die Priorität als hoch ein und erwartet eine Ausnutzung aufgrund der Schwachstellenklasse.
Unsere Empfehlung
- Prüfen, ob das Theme Gamic installiert ist und welche Version aktiv ist.
- Falls Version 1.19 oder früher auf einer öffentlichen Website im Einsatz ist, auf die neueste Version von ThemeForest aktualisieren und bestätigen, dass sie neuer als 1.19 ist und die Korrektur im Changelog enthalten ist.
- Falls keine Korrektur bestätigt werden kann, das Theme ersetzen oder deaktivieren und virtuelles Patching über eine WAF aktivieren.
- Weitere installierte Plugins und Themes auf bekannte Schwachstellen prüfen, da diese eine Ausnutzung ermöglichen können.
- Website- und Serverprotokolle auf ungewöhnliche Anfragen mit serialisierten Daten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CVE record vulners.com
- VulDB entry vuldb.com
- Strix NVD mirror www.strix.ai
- ThemeForest listing themeforest.net
- Envato Elements listing elements.envato.com
- Gamic documentation gamic.themerex.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.