Let's Play WordPress-Theme: PHP Object Injection
Zusammenfassung
Das WordPress-Theme Let's Play (Paket playhockey) bis und mit Version 1.1.15 enthält eine Deserialisierungsschwachstelle, die PHP Object Injection erlaubt. Laut Patchstack kann ein nicht authentifizierter Angreifer manipulierte Daten senden, die die Verarbeitung auf der Website beeinflussen und schädliche Aktionen auf dem Server auslösen. Jede Website mit einer betroffenen Version ist exponiert, der genaue Angriffspunkt ist nicht veröffentlicht.
Betroffen
- WordPress-Theme Let's Play (Paket playhockey), von n/a bis 1.1.15
- Vom CNA angegebener betroffener Bereich: 0 bis <= 1.1.15
Behoben in
- Unbekannt. Es wurde kein Sicherheitshinweis des Herstellers oder eine korrigierte Version gefunden.
- Patchstack gibt an: 'No official patch available' (kein offizieller Patch verfügbar).
Umgehung
- Keine vom Hersteller dokumentierte Massnahme gefunden.
- Patchstack hat eine Mitigationsregel (Virtual Patch) veröffentlicht, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist. Die Anwendung sollte mit Patchstack oder Ihrem Webentwickler abgestimmt werden.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS um 0.003 (tief).
- Patchstack bezeichnet die Schwachstelle als hochgefährlich und erwartet eine Ausnutzung, es wurde in der Recherche jedoch kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, ob das Theme Let's Play installiert und welche Version aktiv ist.
- Behandeln Sie jede Website mit Version 1.1.15 oder älter als verwundbar, bis der Hersteller eine korrigierte Version bestätigt.
- Wenden Sie die Patchstack-Mitigationsregel oder einen WAF-Virtual-Patch an, falls kein Fix verfügbar ist.
- Beschränken Sie den Zugriff auf Admin- und Login-Bereiche, halten Sie WordPress-Core und andere Plugins aktuell und überwachen Sie die Logs auf verdächtige Anfragen.
- Kontaktieren Sie ThemeREX oder Ihren Webentwickler für eine korrigierte Version.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability entry (CNA) patchstack.com
- OpenCVE CVE-2026-93935 app.opencve.io
- CVE threat intelligence entry cve.threatint.com
- ThemeForest product page and changelog themeforest.net
- ThemeREX download page themerex.net
- Vulners CVELIST entry vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.