ThemeREX Booklovers-Theme: PHP Object Injection durch unsichere Deserialisierung

Zusammenfassung

Das WordPress-Theme Booklovers von ThemeREX Group, Versionen bis einschliesslich 2.13.0, deserialisiert nicht vertrauenswürdige Daten, was PHP Object Injection ermöglicht. Gemäss CNA kann ein nicht authentifizierter Angreifer aus der Ferne steuern, wie die Website Daten verarbeitet, und je nach PHP-Umgebung sowie den vorhandenen Plugins und Bibliotheken schädliche Aktionen auf dem Server ausführen. Ein Fix oder eine Herstellerwarnung wurde nicht gefunden, und die NVD-Analyse ist noch aufgeschoben.

Betroffen

• ThemeREX Group Booklovers WordPress-Theme, Versionen bis einschliesslich 2.13.0
• Frühere Versionen ab der ersten Veröffentlichung sind gemäss CNA-Eintrag betroffen (Standard: nicht betroffen)

Behoben in

Unbekannt. Weder der Hersteller noch die CNA haben eine korrigierte Version bestätigt.

Umgehung

• Keine vom Hersteller bestätigte Massnahme verfügbar.
• Theme deaktivieren und entfernen, wo es nicht benötigt wird.
• Web Application Firewall oder Virtual Patch eines Anbieters prüfen, der diesen Eintrag abdeckt (für diese CVE nicht verifiziert).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Kein öffentlicher Proof-of-Concept gefunden; die Suche war begrenzt.
• Patchstack stuft die Lücke als hohe Priorität ein und warnt vor möglichen Massenausnutzungen.

Unsere Empfehlung

• Alle WordPress-Websites, einschliesslich Staging- und vergessener Websites, auf das Booklovers-Theme prüfen.
• Theme deaktivieren und entfernen, wo es nicht benötigt wird.
• Websites, die es noch verwenden, isolieren oder priorisieren; Administrationszugriffe einschränken und aktuelle Backups sicherstellen.
• Patchstack-Eintrag und Kanäle von ThemeREX beobachten und einen Fix umgehend einspielen, sobald er bestätigt ist.
• Webserver-Logs auf ungewöhnliche Anfragen prüfen, falls das Theme auf einer öffentlichen Website installiert war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• OpenCVE record app.opencve.io
• VulDB entry vuldb.com
• HOL Guard entry hol.org
• ThemeREX Booklovers documentation doc.themerex.net
• ThemeForest listing themeforest.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:00.