Asia Garden Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Asia Garden in Versionen bis einschliesslich 1.3.1 enthält eine PHP Object Injection ohne Authentifizierung (CWE-502), bewertet mit CVSS 9.8 (kritisch). Ein Angreifer aus dem Netz kann ohne Anmeldung manipulierte Daten an die Website senden, wodurch der Server schädliche Objekte verarbeiten kann. Ob daraus eine Codeausführung entsteht, hängt von anderer PHP-Software auf der Website ab, die als Gadget-Kette missbraucht werden kann, und ist unbekannt.
Betroffen
- ThemeREX Asia Garden WordPress-Theme, Versionen bis einschliesslich 1.3.1
- Weitere vom Hersteller bestätigte Versionsbereiche sind nicht bekannt
Behoben in
Unbekannt. Es ist keine korrigierte Version veröffentlicht; es darf nicht davon ausgegangen werden, dass 1.3.1 gepatcht ist.
Umgehung
- Vom Hersteller ist keine spezifische Massnahme veröffentlicht.
- Theme deaktivieren und entfernen, falls es nicht benötigt wird.
- Exposition der Website einschränken, zum Beispiel mit einer WAF-Regelsammlung (Patchstack hat eine Schutzregel veröffentlicht).
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA-KEV-Katalog; keine bekannte Ausnutzung gemeldet.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- EPSS 0.00304 (Vulners).
Unsere Empfehlung
- Prüfen, ob das Asia-Garden-Theme auf einer aus dem Internet erreichbaren WordPress-Website installiert ist.
- Falls installiert: Theme deaktivieren und durch ein gepflegtes Theme ersetzen oder bis zu einer korrigierten Version eine Schutzmassnahme anwenden.
- WAF oder Schutzregel aktivieren und Webserver-Logs auf ungewöhnliche Anfragen an das Theme prüfen; jeden Treffer als mögliche Kompromittierung behandeln.
- Andere installierte Plugins und Themes auf bekannte PHP-Object-Injection-Gadget-Ketten prüfen.
- WordPress-Core und alle übrigen Komponenten aktuell halten und ThemeREX sowie Patchstack auf einen Fix überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62125 patchstack.com
- VulDB CVE-2026-62125 vuldb.com
- OpenCVE CVE-2026-62125 app.opencve.io
- HOL Guard CVE-2026-62125 hol.org
- Patchstack PHP Object Injection academy patchstack.com
- ThemeForest Asia Garden item page themeforest.net
- ThemeREX Asia Garden download page themerex.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.