Juno WordPress Theme: Unauthentifizierte PHP Object Injection

Zusammenfassung

Das WordPress-Theme Juno von ThemeREX in Version 2.25 und älter enthält eine unauthentifizierte PHP Object Injection (CWE-502), die als KRITISCH mit CVSS 9.8 bewertet ist. Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an die Website senden, was die serverseitige Verarbeitung manipulieren und je nach verfügbaren Klassen im Code der Website zu Remote Code Execution führen kann. Eine offizielle korrigierte Version wurde vom Hersteller nicht bestätigt, und die Quellen widersprechen sich bezüglich der ersten korrigierten Version. Juno richtet sich an WooCommerce-Shops, die häufig aus dem Internet erreichbar sind.

Betroffen

• Juno-Theme für WordPress, Versionen 2.25 und älter (Patchstack, NVD, Rapid7)
• Websites mit installiertem Theme, einschliesslich Staging-Umgebungen und von Agenturen betreuten Websites

Behoben in

• Unbekannt. Patchstack führt keinen offiziellen Patch als verfügbar auf.
• OpenCVE empfiehlt ein Update auf Version 2.26 oder neuer, dies ist jedoch weder durch Patchstack noch durch ThemeREX bestätigt.
• Die Download-Seite von ThemeREX führt Version 2.28.0 als aktuell auf, das Datum der Seite ist unklar.
• Die korrigierte Version ist über das ThemeREX-Konto oder den ThemeREX-Support zu verifizieren.

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Theme deaktivieren, falls es nicht zwingend benötigt wird.
• Eine Web Application Firewall oder ein Virtual Patch vor der Website platzieren (Patchstack bietet eine Schutzregel an).
• Zugriff auf den Admin-Bereich und das Frontend soweit möglich einschränken.
• Backups aufbewahren und die Website auf unerwartete Änderungen prüfen.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Der EPSS-Wert ist sehr niedrig, rund 0.4 Prozent.
• Es wurden kein öffentlicher Proof of Concept und keine Berichte über aktive Ausnutzung gefunden. Dies ist keine abschliessende Prüfung.

Unsere Empfehlung

• Alle WordPress-Websites mit Juno inventarisieren, einschliesslich Staging- und von Agenturen betreuter Websites.
• Die installierte Theme-Version im WordPress-Admin-Bereich oder in den Theme-Dateien prüfen.
• Läuft auf der Website Version 2.25 oder älter, ist dies dringend zu behandeln.
• Auf die neueste Version über das ThemeREX-Konto aktualisieren und anschliessend bei ThemeREX oder Patchstack bestätigen lassen, dass die Korrektur enthalten ist.
• Falls keine Korrektur bestätigt wird, die oben genannten Workarounds anwenden und den Patchstack-Eintrag sowie das ThemeREX-Changelog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• Rapid7 vulnerability record www.rapid7.com
• OpenCVE record app.opencve.io
• Hol Guard CVE record hol.org
• ThemeForest Juno item page themeforest.net
• ThemeREX Juno download page themerex.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:34.