N7 Golf Club Sports & Events Theme: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme N7 | Golf Club Sports & Events bis und mit Version 2.21 enthält eine unauthentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an die Website senden, was die serverseitige Verarbeitung beeinflussen und je nach vorhandenen PHP-Klassen zur Codeausführung führen kann. Der CVSS-Wert beträgt 9.8 (kritisch), und Patchstack rechnet mit einer Ausnutzung.
Betroffen
- WordPress-Theme N7 | Golf Club Sports & Events, Versionen bis und mit 2.21
Behoben in
- Unbekannt. Kein Hersteller-Advisory nennt eine korrigierte Version für diese CVE.
- Ein Changelog-Eintrag auf ThemeForest erwähnt eine mögliche Object Injection beim unserialize in der Skin-Verarbeitung, verweist aber nicht auf diese CVE, und die Version ist nicht bestätigt.
Umgehung
- Theme deaktivieren und entfernen, falls es nicht benötigt wird.
- Eine Web Application Firewall oder ein Virtual Patch vor der Website platzieren, der serialisierte PHP-Objektdaten in Cookies, POST-Parametern und URLs blockiert. Dies ist eine Übergangslösung und keine Korrektur und sollte von einer Fachperson abgestimmt werden.
- Logs auf ungewöhnliche Anfragen an die Endpunkte des Themes prüfen.
Ausnutzung
- Zum Zeitpunkt der geprüften Quellen ist keine Ausnutzung bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
- EPSS 0.00304 (Vulners).
Unsere Empfehlung
- Alle Installationen dieses Themes inklusive Staging- und vergessener Websites identifizieren und die Version bestätigen.
- Theme entfernen, wo es nicht benötigt wird.
- Wo es benötigt wird, jetzt ein WAF-Virtual-Patching einrichten und Logs überwachen.
- ThemeREX-Support kontaktieren, um die korrigierte Version zu bestätigen, und sobald eine verifizierte Korrektur verfügbar ist, umgehend aktualisieren.
- Patchstack-Eintrag und ThemeForest-Changelog auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- ThemeForest product listing and changelog themeforest.net
- OpenCVE CVE entry app.opencve.io
- Vulners entry vulners.com
- VulDB entry vuldb.com
- Strix CVE mapping www.strix.ai
- HOL Guard CVE entry hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.