Rosalinda WordPress-Theme: PHP-Objektinjektion durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Rosalinda bis einschliesslich Version 1.2.4 deserialisiert unvertrauenswürdige Daten, was PHP-Objektinjektion (CWE-502) ermöglicht. Der CNA bewertet die Schwachstelle mit 9.8 (CRITICAL), ohne erforderliche Authentifizierung, und Patchstack stuft sie als hohe Priorität ein. Ob eine nutzbare Gadget-Kette im Theme oder in WordPress-Core existiert, ist nicht bestätigt, daher kann das praktische Risiko geringer sein als der Score vermuten lässt.
Betroffen
- Theme Rosalinda von n/a bis einschliesslich 1.2.4 (WordPress)
- Beginn des betroffenen Bereichs: Unbekannt.
- Versionskonflikt: Ein Wiederverkäufer nennt 1.2.2 als neueste Version; dies ist mit der installierten Version zu prüfen.
Behoben in
Unbekannt. Die Quellen nennen keine korrigierte Version und keinen Herstellerpatch.
Umgehung
Unbekannt. Keine vom Hersteller bestätigte Massnahme. Patchstack meldet eine Mitigationsregel, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist; vor einer Abhängigkeit mit Patchstack abklären.
Ausnutzung
- Nicht in der CISA KEV aufgeführt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- VulDB: EPSS 0.00000, Aktivität sehr gering.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Installationen auf das Theme Rosalinda prüfen und die genaue Version erfassen.
- Die korrigierte Version über das ThemeForest-Changelog oder den Entwickler beschaffen oder Patchstack nach einem virtuellen Patch fragen.
- Falls keine Korrektur verfügbar ist, für öffentliche Produktivseiten einen Wechsel auf ein anderes Theme prüfen.
- Nicht benötigte Theme-Installationen entfernen.
- Betroffene öffentliche Seiten auf verdächtige Aktivitäten prüfen.
- Andere ThemeREX-Themes auf denselben Seiten prüfen, da im gleichen Paket weitere Deserialisierungslücken veröffentlicht wurden (CVE-2026-93931, CVE-2026-93930).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-93933 app.opencve.io
- VulDB CVE-2026-93933 vuldb.com
- Patchstack PHP Object Injection academy patchstack.com
- ThemeForest Rosalinda listing themeforest.net
- Strix CVE-2026-93930 (related ThemeREX issue) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.