ThemeREX Tantra-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Tantra bis und mit Version 2.9.0 deserialisiert nicht vertrauenswürdige Daten (CWE-502), was PHP Object Injection ermöglicht. Laut CNA-Eintrag ist die Schwachstelle über das Netzwerk ohne Authentifizierung erreichbar und kann die Vertraulichkeit, Integrität und Verfügbarkeit der Website beeinträchtigen. Ob ein Angreifer tatsächlich Code ausführen kann, hängt von den Klassen der installierten Plugins und Themes ab, was nicht überprüft wurde.
Betroffen
- Tantra WordPress-Theme (ThemeREX Group, von Patchstack ebenfalls als Tantra-Theme geführt)
- Alle Versionen bis und mit 2.9.0
- Versionen über 2.9.0 sind laut CNA-Eintrag nicht betroffen, es wird jedoch in keiner Quelle eine korrigierte Version genannt.
Behoben in
Unbekannt.
- Keine Quelle nennt eine korrigierte Version für diese CVE.
- Spätere Tantra-Versionen (zum Beispiel 2.10.0 und 2.11.0) existieren, ihre Versionshinweise erwähnen diese CVE jedoch nicht.
Umgehung
- Unbekannt, ob der Hersteller eine Umgehungslösung bereitstellt.
- Patchstack meldet eine Schutzregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist; nutzen Sie sie, falls Sie eine Patchstack- oder ähnliche WAF mit Virtual Patching haben.
- Beschränken Sie den Zugriff auf den WordPress-Admin-Bereich und halten Sie WordPress-Core sowie alle Plugins aktuell.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden; CISA SSVC stuft die Ausnutzung als none ein.
- Automatisierbar: ja (CISA SSVC).
- Kein öffentlicher Proof of Concept gefunden.
- EPSS liegt bei etwa 0.003 (tief).
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen Sie jetzt, ob öffentliche Websites Tantra verwenden und welche Version installiert ist.
- Wo Tantra 2.9.0 oder älter ist, erstellen Sie ein Backup und planen Sie ein Update, aber nur auf eine Version, die vom Hersteller oder von Patchstack als korrigiert bestätigt ist.
- Setzen Sie bis zu einer bestätigten Korrektur, falls verfügbar, Virtual Patching über eine WAF ein und beschränken Sie den Admin-Zugriff.
- Prüfen Sie zusätzlich die installierte Version des ThemeREX-Addons-Plugins.
- Überwachen Sie die Logs auf ungewöhnliche Anfragen und achten Sie auf eine offizielle Herstellerwarnung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-93930 app.opencve.io
- ThemeForest Tantra listing themeforest.net
- Tantra documentation tantra.axiomthemes.com
- ThemeREX Addons vulnerability fix themerex.net
- Rapid7 via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.