Axiomthemes Veto: PHP Object Injection durch Deserialisierung nicht vertrauenswürdiger Daten

Zusammenfassung

Das WordPress-Theme Veto von Axiomthemes enthält eine Deserialisierungsschwachstelle (CWE-502), die in allen Versionen bis einschliesslich 1.6.0 PHP Object Injection ermöglicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann vom Server verarbeitete Daten manipulieren, was schädliche Aktionen auf dem Server ermöglichen kann, abhängig davon, ob im Theme, in anderen Plugins oder im WordPress-Core eine nutzbare Gadget-Kette vorhanden ist. Der CVSS-Wert von 9.8 spiegelt teilweise die Richtlinie von Patchstack wider, solchen Meldungen ohne nachgewiesene Gadget-Kette die maximale Auswirkung zuzuordnen.

Betroffen

• WordPress-Theme Veto von Axiomthemes, Versionen bis einschliesslich 1.6.0
• Hinweis: Quellen bezeichnen die Komponente teilweise als Plugin; prüfen Sie, welche Komponente installiert ist

Behoben in

• Kein offizieller Patch durch die Quellen bestätigt.
• Empfehlung von Patchstack als CNA: Aktualisierung auf eine Version über 1.6.0 oder Ersatz des Themes.
• Nicht verifizierter Kandidat: Changelog-Eintrag des Herstellers zu Version 1.8.0 (03.03.2026) erwähnt eine mögliche Object-Injection-Korrektur; er verweist nicht auf diese CVE und muss geprüft werden. Neuere Versionen existieren (z. B. 1.9.0); prüfen Sie die aktuellste Version.

Umgehung

• Keine herstellerspezifische Massnahme gefunden.
• Veto-Theme auf öffentlich erreichbaren Websites deaktivieren oder ersetzen.
• Zugriff auf den WordPress-Admin-Bereich einschränken.
• Falls eine WAF oder ein Virtual-Patching-Dienst eingesetzt wird, nachfragen, ob diese CVE abgedeckt ist.

Ausnutzung

• CISA SSVC: Exploitation none, automatable yes, technical impact total.
• EPSS 0.0032 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
• Zum Zeitpunkt der Recherche sind keine bekannte Ausnutzung und kein öffentlicher Proof of Concept bekannt.
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.

Unsere Empfehlung

• Alle WordPress-Websites mit Veto identifizieren, einschliesslich Staging-Kopien.
• Auf die neueste Herstellerversion aktualisieren oder das Theme ersetzen und prüfen, ob das Update eine Korrektur enthält.
• Veto deaktivieren, bis eine korrigierte Version bestätigt ist, sofern Websites nicht aktualisiert werden können.
• Backups, Logs und WordPress-Dateien seit dem 8. Okt. 2026 auf unerwartete Änderungen prüfen.
• Die Advisories von Patchstack und WPScan auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory: WordPress Veto theme <= 1.6.0 PHP Object Injection patchstack.com
• OpenCVE CVE-2026-93927 app.opencve.io
• CVELIST CVE-2026-93927 (Vulners) vulners.com
• VulDB CVE-2026-93927 vuldb.com
• Veto theme on ThemeForest (vendor changelog) themeforest.net
• Patchstack academy: PHP Object Injection patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:53.