Angio WordPress-Theme: PHP Object Injection durch Subscriber-Konten
Zusammenfassung
Das WordPress-Theme Angio bis und mit Version 1.1.1 ist von einer PHP Object Injection (CWE-502) betroffen. Ein authentifizierter Benutzer mit der Rolle Subscriber kann manipulierte serialisierte Daten übergeben, die vom Theme unsicher verarbeitet werden. Eine erfolgreiche Ausnutzung kann zur Manipulation von Daten und, abhängig von weiterer installierter Software auf der Website, zur Remote Code Execution auf dem Server führen.
Betroffen
- Angio WordPress-Theme Version 1.1.1 und alle früheren Versionen
- Hersteller laut Angabe rascals (nicht unabhängig bestätigt)
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt; der Patchstack-Eintrag nennt keinen offiziellen Patch.
Umgehung
- Keine vom Hersteller bestätigte Massnahme bekannt.
- Theme entfernen oder deaktivieren, sofern es nicht benötigt wird.
- Konten mit der Rolle Subscriber einschränken oder prüfen und offene Registrierung nach Möglichkeit deaktivieren.
- WordPress-Core, weitere Plugins und die PHP-Laufzeitumgebung vollständig aktuell halten.
- Ein WAF-Virtual-Patch eines Anbieters wie Patchstack kann verfügbar sein; für diese CVE ist dies nicht bestätigt.
Ausnutzung
- Nicht als aktiv ausgenutzt bekannt; CISA SSVC führt Exploitation als none und Automatable als no.
- Laut einem Drittanbieter-Alert-Feed nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
- EPSS etwa 0.0047 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen, ob das Angio-Theme installiert ist, auch als inaktive Kopie.
- Prüfen, ob öffentliche Registrierung aktiviert ist; Websites ohne offene Registrierung sind deutlich weniger gefährdet.
- Wird das Theme verwendet, es bis zu einer bestätigten korrigierten Version entfernen oder deaktivieren.
- Patchstack-Eintrag und Hersteller auf einen Fix überwachen und diesen zeitnah einspielen.
- Logs auf ungewöhnliche Anfragen prüfen und den NVD-Eintrag erneut kontrollieren, der derzeit zurückgestellt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Angio theme <= 1.1.1 PHP Object Injection patchstack.com
- OpenCVE: CVE-2026-62021 app.opencve.io
- Rapid7 via Vulners: CVE-2026-62021 vulners.com
- Strix: CVE-2026-62021 www.strix.ai
- Patchstack Academy: PHP Object Injection patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.