ThemeREX Edema-Theme: PHP Object Injection durch unsichere Deserialisierung

Zusammenfassung

Das WordPress-Theme Edema bis einschliesslich Version 1.2.2.2 deserialisiert unsichere Daten (CWE-502), was PHP Object Injection ermöglicht. Gemäss CVSS-Vektor kann ein nicht authentifizierter Angreifer dies über das Netzwerk ohne Benutzerinteraktion ausnutzen, was zu einer hohen Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit des Webserver-Systems führen kann. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, eine Ausnutzung ist derzeit jedoch nicht bestätigt.

Betroffen

• Edema WordPress-Theme von n/a bis einschliesslich 1.2.2.2 (Hersteller: ThemeREX Group)
• Vertrieb über ThemeForest

Behoben in

Unbekannt. Der Advisory bestätigt keine korrigierte Version. Das ThemeForest-Changelog führt Version 1.2.2.2 (25.06.2025) mit dem Hinweis "Theme vulnerability" auf, was unklar ist und geprüft werden muss.

Umgehung

Unbekannt. In den geprüften Quellen wurde keine Workaround-Massnahme gefunden. Allgemeine Massnahmen: Zugriff auf den WordPress-Admin-Bereich einschränken, WordPress-Core und Plugins aktuell halten und das Theme auf Websites entfernen, die es nicht nutzen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Patchstack erwartet eine Ausnutzung und stuft die Lücke als hohe Priorität ein
• EPSS etwa 0.3%
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; laut einem Drittanbieter-Tracker nicht im KEV-Katalog (nicht direkt geprüft)

Unsere Empfehlung

• Installierte Edema-Version auf jeder Website prüfen und mit der neuesten Version auf ThemeForest vergleichen
• Version 1.2.2.2 und tiefer als verwundbar behandeln, bis Hersteller oder Patchstack eine Korrektur bestätigen
• Theme dort entfernen, wo es nicht genutzt wird; Admin-Zugriff einschränken
• ThemeREX Addons-Plugin unter 2.45.0 prüfen (CVE-2026-62105), das eine verwandte nicht authentifizierte PHP Object Injection-Lücke aufweist
• Patchstack-Advisory und Hersteller-Updates überwachen und Korrekturen zeitnah einspielen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• OpenCVE CVE-2026-93941 app.opencve.io
• Vulners CVELIST CVE-2026-93941 vulners.com
• ThemeForest Edema item page themeforest.net
• ThemeREX Edema product page themerex.net
• CVE-2026-62105 related ThemeREX Addons flaw cvefeed.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:51.