Travesia WordPress-Theme: PHP Object Injection
Zusammenfassung
Das WordPress-Theme Travesia in den Versionen bis und mit 1.1.16 enthält eine PHP Object Injection Schwachstelle, die durch Deserialisierung nicht vertrauenswürdiger Daten entsteht. Ein nicht authentifizierter Angreifer kann präparierte Eingaben an die Website senden, die die Datenverarbeitung manipulieren und je nach verfügbaren PHP-Gadget-Chains zur Ausführung von Befehlen auf dem Server führen können. Öffentlich erreichbare Websites von Reiseveranstaltern und Tourismusanbietern sind am stärksten gefährdet, und ein bestätigter Herstellerfix ist nicht bekannt.
Betroffen
- WordPress-Theme Travesia ab 0 bis und mit 1.1.16 (CNA-Eintrag von Patchstack)
Behoben in
Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden. Es darf nicht davon ausgegangen werden, dass eine Version korrigiert ist, bis der Hersteller oder Patchstack dies bestätigt.
Umgehung
- Vom Hersteller veröffentlichte Workaround-Massnahme: keine.
- Falls das Theme nicht benötigt wird, deaktivieren und entfernen.
- Den Zugriff auf den WordPress-Admin-Bereich einschränken.
- Beim WAF- oder Security-Plugin-Anbieter nachfragen, ob eine Regel für diese Schwachstelle verfügbar ist.
Ausnutzung
- Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog aufgeführt. EPSS bei etwa 0.003.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung, daher betroffene Websites als gefährdet behandeln.
Unsere Empfehlung
- Prüfen, ob eine Website das Theme Travesia verwendet und welche Version installiert ist.
- Version 1.1.16 und ältere als verwundbar behandeln und vor jeder Änderung ein Backup erstellen.
- Beim Hersteller eine bestätigte korrigierte Version anfragen und diese so bald wie verfügbar einspielen.
- Bis dahin das Theme wo möglich deaktivieren oder entfernen, den Admin-Zugriff einschränken und die Website auf verdächtige Aktivitäten überwachen.
- NVD und CISA KEV in einigen Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for Travesia 1.1.16 patchstack.com
- OpenCVE: CVE-2026-93929 app.opencve.io
- VulDB: CVE-2026-93929 vuldb.com
- Vulners CVElist: CVE-2026-93929 vulners.com
- Strix AI: CVE-2026-93929 www.strix.ai
- ThemeForest: Travesia theme (vendor changelog) themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.