Good Homes WordPress-Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Good Homes bis Version 1.3.13 ist anfällig für PHP Object Injection durch unsichere Deserialisierung von Daten. Ein nicht authentifizierter Angreifer kann dies über das Netzwerk ausnutzen, indem er manipulierte Eingaben an eine öffentliche Website sendet. Je nach den auf der Website verfügbaren PHP-Klassen kann dies zur Manipulation von Daten oder zur Ausführung von Code auf dem Server führen.
Betroffen
- WordPress-Theme Good Homes, Versionen bis und mit 1.3.13
- VulDB nennt den Bereich 1.3.0 bis 1.3.13; der genaue betroffene Bereich laut Hersteller ist nicht verifiziert.
Behoben in
- Unbekannt. Es wurde keine Sicherheitsmitteilung oder Changelog-Eintrag des Herstellers gefunden, der einen Sicherheitsfix bestätigt.
- Auf der ThemeForest-Seite erscheint eine Überschrift '1.3.14', diese ist jedoch nicht als Fix für diese Schwachstelle bestätigt.
Umgehung
- Dem Hersteller oder Forschenden ist kein Workaround bekannt.
- Theme deaktivieren, falls es nicht benötigt wird.
- Zugriff auf die Website auf WAF- oder Hosting-Ebene einschränken oder ein Virtual Patch verwenden, sofern dieses über die WAF oder Patchstack verfügbar ist.
Ausnutzung
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; CISA SSVC lautet: Exploitation none, Automatable yes, Technical Impact total.
- Laut VulDB sind kein öffentlicher Proof of Concept und kein Exploit bekannt.
- Es wurden keine Hinweise auf aktive Ausnutzung gefunden; der Status in CISA KEV sollte direkt geprüft werden.
Unsere Empfehlung
- Prüfen, ob eine über das Internet erreichbare WordPress-Website das Theme Good Homes verwendet und welche Version installiert ist.
- Falls das Theme vorhanden ist und kein bestätigter Fix verfügbar ist, das Theme deaktivieren oder entfernen oder den Zugriff über WAF oder Hosting einschränken.
- ThemeREX kontaktieren oder die Patchstack-Mitteilung auf die gepatchte Version prüfen und diese sofort einspielen, sobald sie bestätigt ist.
- Webserver-Logs auf ungewöhnliche Anfragen überwachen und andere WordPress-Themes auf ähnliche Probleme prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- Patchstack advisory (mirror) vulners.com
- Strix CVE summary www.strix.ai
- ThemeForest product page themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.