Axiomthemes Balance WordPress-Theme: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Theme Axiomthemes Balance in den Versionen bis einschliesslich 1.12.0 deserialisiert nicht vertrauenswürdige Daten (CWE-502), wodurch PHP Object Injection möglich ist. Laut dem Patchstack-Advisory kann ein Angreifer die Verarbeitung von Daten auf der Website manipulieren, um schädliche Aktionen auf dem Server auszuführen. Eine Analyse eines Drittanbieters beschreibt möglicherweise Remote Code Execution oder eine Übernahme der Website, dies ist vom Hersteller jedoch nicht bestätigt; laut Vektor sind keine Berechtigungen nötig, eine Authentifizierungsanforderung ist aber nicht explizit bestätigt.
Betroffen
- WordPress-Theme Axiomthemes Balance, Versionen von n/a bis einschliesslich 1.12.0
- Untere Grenze des betroffenen Bereichs: unbekannt
- Hinweis: Auch andere Anbieter verkaufen Themes namens Balance; vor einer Massnahme das Axiomthemes-Produkt prüfen
Behoben in
Unbekannt. Keine bestätigte korrigierte Version vom Hersteller oder von Patchstack. Positive Technologies deutet auf eine Korrektur in Version 1.12.1 hin, dies ist nicht verifiziert.
Umgehung
Keine vom Hersteller dokumentierte Workaround-Massnahme gefunden.
- Theme entfernen, wenn es nicht verwendet wird
- Zugriff auf Admin-Bereich und verwundbare Endpunkte soweit möglich einschränken
- Backups und Logs für die Überprüfung aufbewahren
- Patchstack gibt an, dass für seine Kunden eine Mitigationsregel verfügbar sein kann
Ausnutzung
- Zum Zeitpunkt der Recherche kein öffentlicher Exploit gefunden
- Kein Hinweis auf Ausnutzung in freier Wildbahn; nicht in KEV gelistet
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- EPSS etwa 0,3 %
- Patchstack stuft die Priorität als hoch ein; die Lage kann sich rasch ändern, da die CVE neu ist
Unsere Empfehlung
- Alle Websites mit dem Theme Axiomthemes Balance identifizieren und deren Version prüfen
- Jede öffentlich erreichbare Installation als hohe Priorität behandeln
- Auf eine vom Hersteller bestätigte Version mit Korrektur aktualisieren, sobald verifiziert, z. B. über ThemeForest
- Falls keine Korrektur verfügbar ist, Theme entfernen oder ersetzen und Zugriff einschränken
- Weitere Axiomthemes-Produkte auf ähnliche Advisories prüfen
- NVD, KEV und Exploit-Quellen auf Änderungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Balance theme PHP Object Injection patchstack.com
- Positive Technologies PT-2026-109589 vulners.com
- VulDB CVE-2026-93945 vuldb.com
- OpenCVE CVE-2026-93945 app.opencve.io
- ThemeForest Balance theme (vendor page) themeforest.net
- PSIRT CVE-2026-93945 psirt.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.