Alliance WordPress-Theme: PHP Object Injection ohne Authentifizierung
Zusammenfassung
Das WordPress-Theme Alliance von ThemeREX enthält bis und mit Version 3.11 eine PHP-Object-Injection-Schwachstelle (CWE-502). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann präparierte Daten senden, die die Website deserialisiert, wodurch sich die Anwendungslogik manipulieren lässt und je nach vorhandenem Code in den installierten Komponenten Code auf dem Server ausgeführt werden kann. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch). Aus dem Internet erreichbare Websites und Extranets mit diesem Theme sind am stärksten gefährdet.
Betroffen
- ThemeREX Alliance WordPress-Theme, alle Versionen bis und mit 3.11
Behoben in
Unbekannt. Es wurde keine bestätigte korrigierte Version veröffentlicht. Neuere Versionen dürfen erst als korrigiert gelten, wenn der Hersteller dies bestätigt.
Umgehung
- Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
- Den Zugriff auf die Website einschränken (IP-Allowlist, VPN oder Basic Authentication), bis eine Korrektur bestätigt ist.
- Falls verfügbar, eine WordPress-taugliche WAF mit Virtual Patching einsetzen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja (eine Bewertung, kein Nachweis beobachteter Angriffe).
- EPSS 0.00304 (niedrig). Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Alle WordPress-Websites mit Alliance inventarisieren und die installierte Version erfassen.
- Alle Versionen bis und mit 3.11 als verwundbar behandeln.
- Zugriff auf Intranet- und Extranet-Websites einschränken und WAF-Virtual-Patching aktivieren.
- Falls keine korrigierte Version bestätigt ist, einen Ersatz durch ein gepflegtes Theme planen, nach einer vollständigen Datensicherung.
- Die Website auf unerwartete Admin-Konten und veränderte Dateien prüfen und Hersteller sowie NVD auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Alliance theme <= 3.11 PHP Object Injection patchstack.com
- OpenCVE: CVE-2026-78529 app.opencve.io
- Vulners (Rapid7): CVE-2026-78529 vulners.com
- VulDB: CVE-2026-78529 vuldb.com
- ThemeForest: Alliance Intranet & Extranet WordPress Theme themeforest.net
- ThemeREX Alliance documentation doc.themerex.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.