ThemeREX Law Office WordPress-Theme: Nicht authentifizierte PHP-Objektinjektion
Zusammenfassung
Das WordPress-Theme Law Office von ThemeREX, Versionen bis und mit 3.20, enthält eine nicht authentifizierte PHP-Objektinjektion (CWE-502). Ein Angreifer kann ohne Anmeldung über das Netzwerk manipulierte Daten senden, wodurch die Verarbeitung von Daten auf der Website beeinflusst werden kann. Der CVSS-Vektor bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch; ob Codeausführung möglich ist, hängt von Gadget-Ketten in der Installation ab, die nicht verifiziert sind.
Betroffen
- ThemeREX Law Office WordPress-Theme, alle Versionen bis und mit 3.20
Behoben in
Unbekannt. Die Quellen widersprechen sich. Eine nicht verifizierte Quelle nennt Version 3.21 oder neuer, aber kein Advisory oder Release-Hinweis von ThemeREX bestätigt dies. Von einer Behebung durch 3.21 darf erst ausgegangen werden, wenn dies verifiziert ist.
Umgehung
- Keine vom Hersteller bestätigte Massnahme bekannt.
- Theme auf exponierten Websites deaktivieren oder entfernen, bis eine Behebung bestätigt ist.
- Zugriff auf betroffene Websites wo möglich einschränken.
- WAF-Regeln für Deserialisierungs-artige Anfragen prüfen; Virtual Patching ersetzt keine Behebung.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird; laut einem GitHub-Triage-Alert nicht im CISA-KEV-Katalog aufgeführt.
- CNA-SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS: 0.00304.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Websites auf das Law-Office-Theme prüfen, auch inaktive Installationen und Staging-Systeme.
- Die genaue Version erfassen; Version 3.20 oder älter sowie unbekannte Versionen als verwundbar behandeln.
- Vor dem Update ThemeREX kontaktieren oder den Patchstack-Eintrag prüfen, um die behobene Version zu bestätigen.
- Bis eine Behebung bestätigt ist, das Theme deaktivieren oder den Zugriff einschränken und Logs auf ungewöhnliche Anfragen überwachen.
- NVD und Patchstack in einigen Tagen erneut prüfen, da der Eintrag noch aktualisiert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory (CVE reference) patchstack.com
- Ionix threat center: CVE-2026-62120 www.ionix.io
- OpenCVE: CVE-2026-62120 app.opencve.io
- HOL Guard: CVE-2026-62120 hol.org
- GitHub triage issue for CVE-2026-62120 github.com
- Vulners: RAPID7:CVE-2026-62120 vulners.com
- ThemeForest: Law Office theme themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.