Smart Casa WordPress-Theme: PHP Object Injection durch Deserialisierung unsicherer Daten
Zusammenfassung
Das WordPress-Theme Smart Casa deserialisiert in den Versionen bis und mit 1.0.12 unsichere Daten, was PHP Object Injection ermöglicht. Gemäss dem Patchstack-Eintrag kann ein Angreifer die Verarbeitung von Daten so beeinflussen, dass schädliche Aktionen auf dem Server ausgeführt werden. Der CVSS-Vektor zeigt einen netzwerkseitigen Zugriff ohne Authentifizierung und ohne Benutzerinteraktion mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; der genaue Auslösepfad ist aus den Quellen nicht bestätigt.
Betroffen
- WordPress-Theme Smart Casa, Versionen 0 bis und mit 1.0.12 (gemäss CNA-Eintrag)
- Die Herstellerangaben unterscheiden sich zwischen den Quellen (ThemeREX Group / AxiomThemes); nicht geklärt
Behoben in
Unbekannt. Es wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden.
Umgehung
- Installierte Theme-Version prüfen; 1.0.12 oder tiefer ist betroffen.
- Falls kein Fix verfügbar ist, das Theme entfernen oder deaktivieren.
- Zugriff auf den Site-Administrationsbereich und theme-bezogene Endpunkte soweit möglich einschränken.
- Generische Massnahmen von Drittanbietern (keine Herstellerangaben): eine Web Application Firewall, die serialisierte Objekt-Payloads blockiert, sowie Dateisystemzugriffe des Webserver-Benutzers nach dem Least-Privilege-Prinzip beschränken.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn; CISA SSVC führt Exploitation als none, Automatisierbarkeit als yes und technische Auswirkung als total.
- Patchstack erwartet eine Ausnutzung und weist darauf hin, dass solche Schwachstellen typischerweise in Massenkampagnen verwendet werden.
- In den geprüften Quellen wurde kein öffentlicher PoC gefunden; der EPSS-Wert liegt bei etwa 0.003.
Unsere Empfehlung
- WordPress-Sites mit Smart Casa inventarisieren und die installierte Version bestätigen.
- Verfügbare Herstellerupdates zeitnah einspielen; existiert keines, das Theme entfernen oder deaktivieren.
- Eine WAF oder ein virtueller Patch von Patchstack als temporäre Massnahme einsetzen und die Logs auf verdächtige serialisierte Payloads überwachen.
- Die Patchstack-Details beschaffen, um den Auslösepfad und die Exposition zu bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability entry patchstack.com
- CVE record (CNA JSON) raw.githubusercontent.com
- ThemeForest product page themeforest.net
- OpenCVE entry app.opencve.io
- VulDB entry vuldb.com
- CIRCL via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.