ThemeREX Education Center: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Education Center bis und mit Version 3.6.12 enthält eine unauthentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung präparierte serialisierte Daten an die Website senden, was die serverseitige Verarbeitung manipulieren und je nach installierten Komponenten zu Codeausführung oder Datenkompromittierung führen kann. Jede Website, auf der das Theme aktiv und aus dem Internet erreichbar ist, ist gefährdet.
Betroffen
- Education Center WordPress-Theme, alle Versionen bis und mit 3.6.12
- Untere Grenze in den Quellen nicht angegeben
Behoben in
- Unbekannt. Keine bestätigte korrigierte Version. Der Hersteller führt Version 3.6.13, aber keine Quelle belegt, dass diese CVE-2026-66483 behebt.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme gefunden.
- Theme deaktivieren oder entfernen, wo es nicht aktiv genutzt wird.
- WAF- oder Reverse-Proxy-Regeln einsetzen, die serialisierte PHP-Objekt-Payloads auf WordPress-Endpunkten blockieren.
- Web-Server- und PHP-Logs auf Warnungen zur Deserialisierung prüfen.
Ausnutzung
- Nicht im CISA KEV aufgeführt. CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
- EPSS 0.00304 (niedrig).
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Websites mit Education Center ermitteln, inklusive Staging-Websites, und die Version prüfen.
- Theme dort entfernen oder deaktivieren, wo es nicht genutzt wird.
- Wo es genutzt wird, beim Hersteller oder bei Patchstack eine bestätigte korrigierte Version anfragen und bis dahin WAF-Filterung anwenden.
- Auf Anzeichen einer Kompromittierung prüfen, etwa unerwartete Admin-Benutzer, veränderte Dateien und ungewöhnliche AJAX-Anfragen.
- Unlizenzierte (nulled) Kopien durch eine lizenzierte Version ersetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-66483 app.opencve.io
- VulDB CVE-2026-66483 vuldb.com
- ThemeREX Education Center product page themerex.net
- ThemeForest Education Center listing themeforest.net
- Strix CVE-2026-66483 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.