Jacqueline WordPress-Theme: PHP Object Injection über nicht authentifizierte Anfragen
Zusammenfassung
Das WordPress-Theme Jacqueline bis und mit Version 2.22 enthält eine PHP Object Injection-Schwachstelle (CWE-502, Deserialisierung nicht vertrauenswürdiger Daten). Ein nicht authentifizierter Angreifer aus dem Netz kann manipulierte Daten senden, die vom Theme deserialisiert werden, was die serverseitige Verarbeitung manipulieren und schädliche Aktionen auf dem Webserver ermöglichen kann. Patchstack und die CISA-SSVC-Daten stufen die Auswirkung als total ein, der CVSS-Score beträgt 9.8.
Betroffen
- ThemeREX Jacqueline WordPress-Theme, Versionen bis und mit 2.22
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag wird der Standardzustand der betroffenen Versionen mit n/a beschrieben)
Behoben in
Unbekannt. Es wurde weder vom Hersteller noch von Patchstack eine korrigierte Version bestätigt. Nicht verifizierte Hinweise: ThemeForest führt v2.27.0 als aktuell auf; VulDB gibt an, dass der Fehler in 2.23 oder neueren Versionen behoben ist.
Umgehung
Unbekannt. Es wurde weder vom Hersteller noch von Patchstack eine Workaround-Massnahme gefunden.
- Falls das Theme nicht genutzt wird, entfernen.
- Den Zugriff auf den WordPress-Admin-Bereich einschränken.
- Bis zu einem Update virtuelles Patching über eine Web Application Firewall in Betracht ziehen.
Ausnutzung
- Nicht in der CISA-KEV-Liste enthalten.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS-Score 0.00304.
- Patchstack bezeichnet die Schwachstelle als hochgefährlich und erwartet eine Ausnutzung; bei der Recherche wurde kein öffentlicher Proof of Concept gefunden, was jedoch nicht beweist, dass keiner existiert.
Unsere Empfehlung
- Prüfen, ob das Jacqueline-Theme auf WordPress-Installationen vorhanden ist, auch auf inaktiven Installationen.
- Auf die neueste Version des Herstellers aktualisieren, sobald eine korrigierte Version bestätigt ist, und die Behebung beim Hersteller verifizieren.
- Falls das Theme nicht benötigt wird, entfernen.
- Bei verzögertem Update eine Web-Application-Firewall-Regel oder ein virtuelles Patch anwenden.
- Webserver-Logs auf ungewöhnliche Anfragen an das Theme überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-78531 app.opencve.io
- VulDB CVE-2026-78531 vuldb.com
- ThemeForest Jacqueline theme themeforest.net
- Strix CVE-2026-78531 www.strix.ai
- Vulners RAPID7 CVE-2026-78531 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.