ThemeREX Dwell-Theme: PHP-Objekt-Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Dwell bis einschliesslich Version 1.16.0 deserialisiert unsichere Daten, was PHP-Objekt-Injection ermöglicht. Ein nicht authentifizierter Angreifer kann über präparierte Anfragen an öffentlich erreichbare Websites Schadaktionen auslösen, etwa Codeausführung, Datenzugriff oder Störung der Website, abhängig von den vorhandenen PHP-Gadget-Chains. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, bekannte Ausnutzung existiert bisher jedoch nicht.
Betroffen
- Dwell WordPress-Theme, alle Versionen bis einschliesslich 1.16.0
- Die Herstellerzuordnung ist teilweise unklar: ThemeREX Group und AxiomThemes werden beide mit dem Theme in Verbindung gebracht
Behoben in
- Unbekannt. Weder Patchstack noch die geprüften Quellen bestätigen einen offiziellen Patch.
- Die Versionen 1.17.0, 1.18.0 und 1.19.0 existieren, doch deren Changelogs erwähnen diese CVE nicht. Die Behebung vor dem Einsatz verifizieren.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Bei fehlender Aktualisierungsmöglichkeit den Hostinganbieter oder Webentwickler um Unterstützung bitten.
- Betroffene Websites einschränken oder offline nehmen, bis eine Behebung verifiziert ist.
- Ein WAF-Virtual-Patch kann helfen; die Regel vorab mit Patchstack oder dem WAF-Anbieter bestätigen.
Ausnutzung
- Keine bekannte Ausnutzung; CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als yes.
- Kein öffentlicher Proof of Concept gefunden.
- Patchstack gibt an, dass solche Lücken voraussichtlich ausgenutzt und in Massenangriffen eingesetzt werden.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und auf das Dwell-Theme und dessen Version prüfen.
- Auf die neueste Version aktualisieren und danach beim Hersteller verifizieren, dass die Behebung enthalten ist.
- Ist eine öffentlich erreichbare Website nicht aktualisierbar, einschränken oder deaktivieren oder einen WAF-Virtual-Patch einsetzen.
- ThemeREX-Addons-(TrxAddons-)Komponenten prüfen und, wo eingesetzt, auf die Korrektur von CVE-2026-62105 (Version 2.45.0) aktualisieren.
- Logs auf ungewöhnliche Anfragen prüfen und die Dateiintegrität kontrollieren.
- NVD und Patchstack überwachen, da der NVD-Status weiterhin Deferred ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Dwell theme PHP Object Injection patchstack.com
- ThemeForest: Dwell theme listing and changelog themeforest.net
- OpenCVE: CVE-2026-93942 app.opencve.io
- CIRCL entry CVE-2026-93942 vulners.com
- TheHackerWire: CVE-2026-93942 analysis www.thehackerwire.com
- Fused: ThemeREX Addons CVE-2026-62105 www.fused.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.