Gunslinger WordPress-Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Gunslinger bis einschliesslich Version 1.11 ist von einer nicht authentifizierten PHP Object Injection (CWE-502) betroffen, die mit CVSS 9.8 als kritisch eingestuft ist. Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte serialisierte Daten an die Website senden, was je nach verfügbaren Klassen installierter Plugins zur Codeausführung oder zur Manipulation von Daten auf dem Server führen kann. Das Theme wird typischerweise für Online-Shops eingesetzt, weshalb aus dem Internet erreichbare Websites am stärksten gefährdet sind.
Betroffen
- Gunslinger WordPress-Theme in Version 1.11 und älter (<= 1.11)
- Child-Themes und Staging-Kopien basierend auf betroffenen Versionen
Behoben in
- Unbekannt. Für CVE-2026-62018 ist keine korrigierte Version bestätigt.
- Neuere Versionen (1.12.0, 1.14.0) existieren, es ist aber nicht bestätigt, dass sie diese CVE beheben.
Umgehung
- Theme deaktivieren, falls es nicht auf eine verifizierte korrigierte Version aktualisiert werden kann.
- WAF-Regel anwenden, die verdächtige serialisierte Eingaben blockiert, bis eine Korrektur verifiziert ist.
- Nicht benötigte WooCommerce- und Elementor-Plugins entfernen, da Object Injection oft von Klassen in installiertem Code abhängt.
- Vor jeder Änderung ein vollständiges Backup erstellen.
Ausnutzung
- Nicht in CISA KEV gelistet. EPSS noch nicht veröffentlicht.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine Ausnutzungsberichte gefunden.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob Gunslinger installiert ist, einschliesslich Child-Themes und Staging-Websites, und die Version ermitteln.
- Websites mit Version 1.11 oder älter als dringend behandeln.
- Bei ThemeREX-Support nachfragen oder das Changelog des Herstellers prüfen, um die korrigierte Version zu bestätigen, und anschliessend aktualisieren.
- Falls keine Korrektur eingespielt werden kann, Theme deaktivieren und WAF-Schutz aktivieren.
- Auf Anzeichen einer Kompromittierung prüfen, etwa unerwartete Admin-Benutzer oder veränderte Theme-Dateien.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners Patchstack entry vulners.com
- ThemeForest Gunslinger item (changelog) themeforest.net
- ThemeREX Gunslinger documentation doc.themerex.net
- EPSS and exploitation status notes github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.