ThemeREX Smash-Theme: PHP Object Injection durch unsichere Deserialisierung

Zusammenfassung

Das WordPress-Theme Smash der ThemeREX Group enthält eine Schwachstelle bei der Deserialisierung, die PHP Object Injection erlaubt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann präparierte Daten an eine öffentlich erreichbare Website senden und unter Umständen schädliche Aktionen auf dem Server ausführen, abhängig von den im Code der Website verfügbaren Gadget-Klassen. Der CVSS-Wert beträgt 9.8 (kritisch), und die Details des Advisory sind nicht öffentlich.

Betroffen

• WordPress-Theme Smash, alle Versionen bis und mit 1.12.0 (gemäss CVE-Eintrag und Patchstack)

Behoben in

Unbekannt. Weder der Hersteller noch Patchstack nennen eine korrigierte Version. Es darf nicht davon ausgegangen werden, dass eine Version sicher ist.

Umgehung

• Die installierte Smash-Version im WordPress-Backend prüfen. Ist sie 1.12.0 oder älter, ist die Website als verwundbar zu betrachten.
• Falls das Theme nicht benötigt wird, auf ein anderes Theme wechseln und Smash entfernen, nachdem geprüft wurde, dass die Website weiterhin funktioniert.
• Muss die Website online bleiben, den Zugriff einschränken oder überwachen und die Logs auf ungewöhnliche Anfragen prüfen.

Ausnutzung

• Gemäss den verfügbaren Quellen ist keine Ausnutzung in freier Wildbahn bestätigt.
• Kein öffentlicher Proof-of-Concept gefunden.
• Nicht im CISA-KEV-Katalog aufgeführt. Der EPSS-Wert liegt bei etwa 0.003.
• Patchstack rechnet mit einer Ausnutzung und stuft die Priorität als hoch ein. CISA SSVC bewertet die Automatisierbarkeit als ja.

Unsere Empfehlung

• Alle WordPress-Websites mit Smash inventarisieren und die genaue Version erfassen.
• Aus dem Internet erreichbare Websites priorisieren. Zugriff einschränken oder das Theme offline nehmen, falls es nicht benötigt wird.
• Bei ThemeREX und Patchstack eine korrigierte Version und den Advisory-Text anfragen und keinem ungeprüften Fix vertrauen.
• Logs auf ungewöhnliche Anfragen überwachen und die Patchstack-Seite sowie NVD auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• Vulners CVE record (CVELIST) vulners.com
• VulDB CVE entry vuldb.com
• Strix CVE entry www.strix.ai
• OpenCVE entry app.opencve.io
• ThemeREX Smash documentation doc.themerex.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:55.