Kalles WordPress-Theme: Unauthentifizierte PHP-Objektinjektion
Zusammenfassung
Das Kalles WordPress-Theme bis und mit Version 1.1.7.1 enthält eine unauthentifizierte PHP-Objektinjektion (CWE-502). Ein entfernter Angreifer kann ohne Anmeldung manipulierte Daten an die Website senden, was die serverseitige Verarbeitung beeinflussen und schädliche Aktionen auf dem Server ermöglichen kann. Die tatsächliche Auswirkung hängt von den installierten Plugins ab, da für Objektinjektionen nutzbare Klassen im Code vorhanden sein müssen; eine bestätigte Gadget-Kette für dieses Theme ist nicht bekannt.
Betroffen
- Kalles WordPress-Theme bis und mit 1.1.7.1
- Verwandt, aber separat: Kalles Addons-Plugin bis und mit 1.0.6 (nicht Gegenstand dieses Eintrags)
Behoben in
Unbekannt. Ein Sicherheitsupdate des Herstellers ist nicht bestätigt.
Umgehung
- Installierte Theme-Version prüfen (Darstellung > Themes oder style.css-Kopfzeile).
- Theme entfernen oder deaktivieren, falls es nicht benötigt wird.
- Web Application Firewall vor die Website schalten; Regelsätze vor dem Einsatz prüfen, da keine CVE-spezifischen Regeln bestätigt sind.
- WordPress-Core, WooCommerce und alle Plugins aktuell halten.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht in der CISA-KEV-Liste.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- EPSS 0.00375 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
- Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und auf Kalles und Kalles Addons inklusive Version prüfen.
- Websites mit Kalles 1.1.7.1 oder älter als gefährdet behandeln; zuerst öffentlich erreichbare Websites prüfen.
- Beim Hersteller oder Verkäufer eine korrigierte Version anfragen; solange kein Fix bestätigt ist, Entfernung des Themes oder kompensierende Massnahmen erwägen.
- Das Theme nicht von inoffiziellen Download-Seiten installieren.
- NVD-Eintrag und Patchstack-Seite auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-62076 app.opencve.io
- Vulners RAPID7 entry (EPSS) vulners.com
- HOL Guard CVE entry hol.org
- Strix CVE entry www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.