ThemeREX Stargaze-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Stargaze bis einschliesslich Version 1.10 ist anfällig für PHP Object Injection (CWE-502) ohne Authentifizierung. Ein nicht authentifizierter Angreifer kann unter Umständen die Verarbeitung serialisierter Daten manipulieren, was zu schädlichen Aktionen auf dem Server führen kann. Der CVSS-Wert beträgt 9.8 (kritisch). Eine bestätigte Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.
Betroffen
- ThemeREX Stargaze WordPress-Theme, Versionen bis einschliesslich 1.10
- Versionen über 1.10 sind gemäss Angaben nicht betroffen
Behoben in
- Wahrscheinlich behoben in Version 1.11.0 gemäss Changelog des Herstellers; vom Hersteller nicht explizit mit dieser CVE verknüpft
- Neueste Version über ThemeForest installieren und die installierte Theme-Version überprüfen
- Einige Tracker geben die behobene Version als unbekannt an; beim Hersteller ThemeREX verifizieren
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Lösung bekannt.
- Falls ein Update nicht sofort möglich ist, die Website offline nehmen oder den Zugriff darauf einschränken.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
- Der Angriff erfordert über das Netzwerk weder Berechtigungen noch Benutzerinteraktion.
Unsere Empfehlung
- Jede WordPress-Installation auf das Stargaze-Theme und dessen Version prüfen.
- Auf Version 1.11.0 oder neuer aktualisieren (die behobene Version bei ThemeREX bestätigen), auf öffentlichen Websites mit hoher Priorität.
- Falls kein Patch sofort möglich ist, den Zugriff einschränken oder die Website offline nehmen.
- Webserver-Logs auf verdächtige Anfragen überwachen und die Website auf Anzeichen einer Kompromittierung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- ThemeForest product and changelog themeforest.net
- OpenCVE CVE-2026-62051 app.opencve.io
- Hol.org CVE-2026-62051 hol.org
- ThemeREX documentation doc.themerex.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.