ThemeREX Tipsy-Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Tipsy bis Version 1.6 enthält eine PHP-Object-Injection-Schwachstelle, die ohne Authentifizierung über HTTP ausgelöst werden kann. Ein Angreifer kann durch gezielt manipulierte Eingaben die Verarbeitung von Daten auf dem Server beeinflussen, was je nach vorhandenen PHP-Klassen zu Codeausführung oder Datenmanipulation führen kann. Der CVSS-Wert beträgt 9.8 (kritisch), und Patchstack erwartet, dass die Schwachstelle in Massenangriffen ausgenutzt wird.
Betroffen
- WordPress-Theme Tipsy, Versionen <= 1.6
- Hersteller: ThemeREX (verkauft über ThemeForest)
Behoben in
- Unbekannt. Weder der Hersteller noch Patchstack haben einen offiziellen Patch bestätigt.
- Auf ThemeForest existiert eine neuere Versionsnummer (1.11.0), es ist jedoch nicht bestätigt, dass diese die Schwachstelle behebt.
Umgehung
- Theme deaktivieren oder entfernen, falls es nicht zwingend benötigt wird.
- Website hinter einer WAF mit virtuellem Patching betreiben (zum Beispiel Patchstack, falls verfügbar).
- Zugriff auf die Website und die Administrationsbereiche einschränken und Backups aufbewahren.
Ausnutzung
- Nicht im Katalog CISA KEV aufgeführt.
- EPSS ist sehr tief (Rapid7: 0%).
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
- Kein öffentlicher Proof of Concept und kein Bericht über Ausnutzung gefunden.
Unsere Empfehlung
- Alle Websites mit Tipsy identifizieren, inklusive Staging-Systemen, und die installierte Version prüfen.
- Bei Version 1.6 oder tiefer und ohne bestätigte korrigierte Version das Theme durch ein gepflegtes ersetzen oder eine WAF mit virtuellem Patching aktivieren.
- Website auf Anzeichen einer Kompromittierung prüfen, etwa unerwartete Änderungen oder Konten.
- Einträge bei Patchstack und NVD auf Updates überwachen, da der NVD-Status derzeit Deferred ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: Tipsy theme <= 1.6 PHP Object Injection patchstack.com
- Rapid7 vulnerability database: CVE-2026-62052 www.rapid7.com
- OpenCVE: CVE-2026-62052 app.opencve.io
- Vulners: RAPID7:CVE-2026-62052 vulners.com
- Hol.org Guard: CVE-2026-62052 hol.org
- ThemeForest: Tipsy Liquor Store & Wine Shop WordPress Theme themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.