Buzz Stone WordPress Theme: Nicht authentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Theme Buzz Stone | Magazine & Viral Blog in den Versionen 1.0.2 und älter enthält eine nicht authentifizierte PHP Object Injection (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte serialisierte Daten an die Website senden, was je nach Code und installierten Plugins die Manipulation der serverseitigen Verarbeitung und unter Umständen Remote Code Execution ermöglichen kann. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, eine Ausnutzung ist in den geprüften Quellen jedoch nicht bestätigt.
Betroffen
- Buzz Stone | Magazine & Viral Blog WordPress Theme, Versionen 1.0.2 und älter
- Herstellerangabe unbestätigt: ThemeRex oder AncoraThemes
Behoben in
Unbekannt. Für diese CVE wurde kein Herstellerpatch gefunden. Version 1.0.3 oder neuer nicht ohne Prüfung des Changelogs des Herstellers und von Patchstack als sicher annehmen.
Umgehung
- Theme deaktivieren und entfernen, falls es nicht benötigt wird.
- Virtuelles Patching oder WAF-Regeln für nicht authentifizierte Anfragen an das Theme anwenden, sofern für diese CVE verfügbar.
- Eine Entwicklerin oder ein Entwickler soll die verwundbaren Codepfade prüfen oder ersetzen.
Ausnutzung
- CVSS 9.8, über das Netzwerk erreichbar, keine Anmeldung und keine Benutzerinteraktion erforderlich.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA KEV. EPSS 0.00311.
- Kein öffentlicher Proof of Concept gefunden und keine Ausnutzung in freier Wildbahn bekannt; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Hohe Priorität behandeln.
- Alle WordPress-Websites mit diesem Theme inventarisieren und prüfen, ob es aktiv ist.
- Theme wo möglich deaktivieren oder entfernen; falls es benötigt wird, eine Migration auf ein gewartetes Theme planen.
- Virtuelles Patching anwenden, sofern verfügbar, und Websites auf Anzeichen einer Kompromittierung prüfen.
- WordPress, PHP und alle Plugins aktuell halten.
- Patchstack-Seite und NVD auf einen Herstellerpatch erneut prüfen, da die NVD-Analyse noch ausstehend ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-81797 patchstack.com
- ThemeForest product page themeforest.net
- OpenCVE CVE-2026-81797 app.opencve.io
- VulDB CVE-2026-81797 vuldb.com
- Vulners RAPID7 CVE-2026-81797 (EPSS) vulners.com
- Strix CVE-2026-81797 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.