ThemeREX Partiso-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Partiso von ThemeREX Group, Versionen bis und mit 1.1.13, deserialisiert nicht vertrauenswürdige Daten ohne ausreichende Prüfung. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann PHP-Objekte einschleusen, was die serverseitige Verarbeitung manipulieren und die Ausführung von bösartigem PHP-Code ermöglichen kann. Für die Ausnutzung sind kein Login und keine Benutzerinteraktion nötig, der CVSS-Score beträgt 9.8 (Critical).
Betroffen
- Partiso-WordPress-Theme (ThemeREX Group), alle Versionen bis und mit 1.1.13
- Versionen vor 1.1.13 sind gemäss Angaben der CNA im betroffenen Bereich enthalten
Behoben in
- Unbekannt. Weder der Hersteller noch Patchstack nennen eine korrigierte Version.
- Den Changelog des ThemeForest-Artikels und ThemeREX auf eine korrigierte Version nach 1.1.13 prüfen.
Umgehung
- Unbekannt. Der NVD-Eintrag enthält keine Lösung oder Workaround.
- Wenn das Theme nicht aktiv genutzt wird, deaktivieren und entfernen.
- Wird es genutzt, den Zugriff auf Admin- und REST-Schnittstellen soweit möglich einschränken und, falls der Anbieter dies unterstützt, Regeln einer Web Application Firewall für virtuelles Patching anwenden.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog aufgeführt. Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept bekannt, nicht unabhängig verifiziert.
- Patchstack stuft das Problem als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob WordPress-Seiten das Partiso-Theme verwenden, insbesondere aus dem Internet erreichbare Seiten.
- Theme deaktivieren und entfernen, falls es nicht benötigt wird.
- Ein frisches Backup erstellen und auf unerwartete Dateien oder Admin-Konten prüfen.
- Sobald ein Fix oder virtuelles Patch bestätigt ist, zeitnah anwenden, Hersteller und NVD auf Updates überwachen.
- Die verwandte nicht authentifizierte Local File Inclusion in Partiso-Themes bis 1.18.0 separat prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- OpenCVE entry app.opencve.io
- Vulners CVE list entry vulners.com
- Wordfence related local file inclusion advisory www.wordfence.com
- OffSeq Radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.