Greeny-WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Greeny bis und mit Version 2.10.0 deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Die Schwachstelle kann ohne Authentifizierung über das Netzwerk ausgelöst werden, und laut CNA-Eintrag kann ein Angreifer Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigen. Ob ein Angreifer Code ausführen kann, hängt von den auf der Website verfügbaren Gadget-Ketten ab, was nicht bestätigt werden konnte.
Betroffen
- Greeny-WordPress-Theme, alle Versionen bis und mit 2.10.0
- Hersteller gemäss CVE-Eintrag: ThemeREX Group; die ThemeForest-Auflistung nennt axiomthemes als Urheber
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche hat weder der Hersteller noch Patchstack eine korrigierte Version veröffentlicht.
Umgehung
- Patchstack meldet eine Mitigationsregel, die Angriffe blockieren kann, bis ein offizieller Patch verfügbar ist (Spiegel eines Drittanbieters, nicht auf der Patchstack-Seite verifiziert)
- Ein WAF mit Virtual Patching vor der Website einsetzen, falls verfügbar
- Zugriff auf den Admin-Bereich einschränken und Logs auf ungewöhnliche Anfragen prüfen
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden
- Patchstack erwartet eine Ausnutzung; dies ist eine Prognose eines Drittanbieters, kein beobachteter Angriff
- EPSS ca. 0.003
Unsere Empfehlung
- Prüfen, ob eine Website das Greeny-Theme verwendet, und die installierte Version bestätigen
- Betroffene Websites dringend behandeln: Theme deaktivieren und ersetzen, falls es nicht benötigt wird
- Bis zu einer offiziellen Korrektur ein WAF oder Virtual Patch einsetzen
- Beim Hersteller nach einem Korrekturtermin fragen und auf Updates achten
- Logs und Backups prüfen; datenschutzrechtliche Pflichten klären, falls personenbezogene Daten bearbeitet werden
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE record and NVD data (OpenCVE) app.opencve.io
- CNA version data (CVEList) vulners.com
- Patchstack advisory mirror cve.imfht.com
- ThemeForest product page themeforest.net
- NVD entry via mirror (PT-2026-109584) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.