WineShop WordPress-Theme: PHP Object Injection
Zusammenfassung
Das WineShop WordPress-Theme bis und mit Version 3.20 enthält eine PHP Object Injection-Schwachstelle (CWE-502) ohne Authentifizierung. Ein entfernter Angreifer kann ohne Anmeldung und ohne Benutzerinteraktion präparierte serialisierte Daten an die Website senden. Patchstack stuft die Lücke als hohe Priorität ein, und CISA SSVC bewertet sie als automatisierbar mit vollständiger technischer Auswirkung; eine Ausnutzung in freier Wildbahn ist nicht bestätigt. Ob eine Code-Ausführung tatsächlich möglich ist, hängt von den PHP-Klassen im installierten Code und in den Plugins ab.
Betroffen
- WineShop WordPress-Theme, alle Versionen bis und mit 3.20
- Neuere Versionen (zum Beispiel 3.23.0 auf ThemeForest) sind für diese CVE nicht als behoben bestätigt
Behoben in
Unbekannt. Es wurde keine Herstellerempfehlung und keine bestätigte korrigierte Version gefunden.
Umgehung
- Kein Workaround des Herstellers oder von Patchstack in den Quellen bestätigt.
- Patchstack soll eine Schutzregel bereitgestellt haben; dies vor einer Verlassung im Patchstack-Eintrag prüfen.
Ausnutzung
- Nicht im CISA KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Bei den Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Alle Client-WordPress-Websites auf das WineShop-Theme und dessen Version prüfen, einschliesslich Child-Themes und gebündelter Kopien.
- Falls die Version 3.20 oder älter ist oder nicht bestätigt werden kann, und das Theme nicht benötigt wird, das Theme deaktivieren und entfernen.
- Falls es benötigt wird, eine WAF oder einen virtuellen Patch vor der Website platzieren und bei ThemeREX oder Patchstack nach einer offiziellen Korrektur fragen.
- Websites auf unerwartete Administratorkonten und Dateien prüfen, da sie bereits kompromittiert sein könnten.
- Den Patchstack-Eintrag und ThemeREX auf eine Korrektur überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62090 patchstack.com
- OpenCVE CVE-2026-62090 app.opencve.io
- GitHub alert (CISA KEV status) github.com
- Aggregator entry (fix status not reported) hol.org
- ThemeForest WineShop listing themeforest.net
- threatint CVE record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.