Splendour WordPress-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Splendour in den Versionen 1.23 und älter enthält eine unauthentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann eine manipulierte serialisierte PHP-Nutzlast senden, die vom Theme deserialisiert wird; dies kann die serverseitige Verarbeitung manipulieren und je nach verfügbaren Gadget-Ketten zur Ausführung beliebigen Codes führen. Es ist kein Login nötig, weshalb jede aus dem Internet erreichbare WordPress-Seite mit diesem Theme gefährdet ist.
Betroffen
- ThemeREX Splendour WordPress-Theme, Versionen 1.23 und älter (<= 1.23)
- Unbekannt, ob das Theme aktiv oder nur installiert ist
Behoben in
- Unbekannt. Für CVE-2026-62050 wurde keine vom Hersteller bestätigte korrigierte Version veröffentlicht.
- Das Changelog des Herstellers nennt Version 1.27.0 mit einer Korrektur zu einer Object Injection in einem anderen Codepfad; es ist nicht bestätigt, dass diese CVE abdeckt.
Umgehung
- Theme entfernen oder deaktivieren, wo es nicht genutzt wird.
- Admin- und Seitenzugriffe wo möglich einschränken und aktuelle Backups sicherstellen.
- Eine Web Application Firewall mit Virtual Patching kann helfen; eine verifizierte Regel für diese CVE ist nicht bekannt.
- Logs auf ungewöhnliche Anfragen überwachen. Es sind keine Indicators of Compromise bekannt.
Ausnutzung
- Nicht im CISA KEV-Katalog aufgeführt.
- CISA-SSVC-Daten: Exploitation none, Automatable yes, Technical Impact total.
- Rapid7 beschreibt die Ausführung beliebigen Codes als möglich; ob dies erreichbar ist, hängt von einer nutzbaren Gadget-Kette ab, die in den Quellen nicht beschrieben wird.
- Patchstack erwartet eine Ausnutzung; dies ist eine Prognose, kein Beleg für aktive Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Seiten inventarisieren, inklusive Staging- und vergessener Seiten, und auf das Splendour-Theme und dessen Version prüfen.
- Theme entfernen oder deaktivieren, wo es nicht genutzt wird.
- Wo es benötigt wird, die Exposition einschränken und, falls verfügbar, einen WAF-Virtual-Patch einsetzen.
- Beim Hersteller ThemeREX oder bei Patchstack die korrigierte Version schriftlich anfragen und nach Bestätigung aktualisieren.
- Logs überwachen und die NVD- und Patchstack-Einträge regelmässig prüfen, da der NVD-Status weiterhin Deferred ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Splendour theme <= 1.23 PHP Object Injection patchstack.com
- OpenCVE: CVE-2026-62050 app.opencve.io
- Rapid7 via Vulners: CVE-2026-62050 vulners.com
- ThemeForest: Splendour theme (vendor changelog) themeforest.net
- Threatint: CVE-2026-62050 cve.threatint.com
- HOL Guard: CVE-2026-62050 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.