ThemeREX Convex WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Convex der ThemeREX Group enthält eine Schwachstelle bei der Deserialisierung (CWE-502), die PHP Object Injection erlaubt. Gemäss dem CNA sind alle Versionen bis und mit 1.16.0 betroffen. Ein nicht authentifizierter Angreifer kann auf einer öffentlich erreichbaren Website manipulierte Eingaben senden, was zu einer manipulierten serverseitigen Verarbeitung führen kann und je nach vorhandenen Gadget-Ketten auf der Website möglicherweise zu Remote Code Execution.
Betroffen
- WordPress-Theme Convex, alle Versionen bis und mit 1.16.0 (gemäss Patchstack und CNA)
- Betroffen sind WordPress-Websites, auf denen dieses Theme installiert ist
Behoben in
Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden. Prüfen Sie das ThemeForest-Changelog und den Patchstack-Eintrag auf die genaue korrigierte Version, die neuer als 1.16.0 sein muss.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Patchstack hat eine Mitigationsregel (Virtual Patch) für diese Schwachstelle veröffentlicht; Abdeckung beim Anbieter bestätigen.
- Öffentlichen Zugriff nach Möglichkeit einschränken, zum Beispiel über eine WAF.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Nicht in KEV gelistet. Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept in den Recherchen gefunden; dies ist nicht abschliessend.
- Drittanbieter-Seiten beschreiben mögliche RCE über Gadget-Ketten, nicht bestätigt durch CNA, NVD oder Hersteller.
- EPSS 0.00322 (Vulners-Aggregation).
Unsere Empfehlung
- Alle WordPress-Websites mit dem Convex-Theme inventarisieren und die installierte Version prüfen.
- Öffentlich erreichbare Websites priorisieren und auf eine bestätigte korrigierte Version aktualisieren oder, falls keine Korrektur verfügbar ist, einen Virtual Patch anwenden.
- Bis zur Behebung Websites auf unbekannte Admin-Benutzer, unerwartete Dateien und geänderte Inhalte prüfen und verifizierte Backups aufbewahren.
- Auf die Herstellerkorrektur und einen öffentlichen Proof of Concept achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-93943 app.opencve.io
- Vulners CVELIST:CVE-2026-93943 vulners.com
- Vulners RAPID7 EPSS data vulners.com
- ThemeForest Convex theme themeforest.net
- ThemeREX Convex theme page themerex.net
- TheHackerWire CVE-2026-93943 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.