BuddhaThemes Neo Barber Shop WordPress Theme: PHP Object Injection
Zusammenfassung
Das Neo | Barber Shop WordPress Theme (neocut) bis einschliesslich Version 3.5 enthält eine Schwachstelle durch unsichere Deserialisierung von Daten (CWE-502), die PHP Object Injection ermöglicht. Ein Angreifer mit niedrigen Berechtigungen auf einer WordPress-Website mit diesem Theme könnte serialisierte Daten manipulieren und so die serverseitige Verarbeitung beeinflussen, was zu Codeausführung, Datenzugriff oder Datenmanipulation führen kann. Patchstack stuft das Problem als hohe Priorität ein, der CVSS-Wert beträgt 8.8.
Betroffen
- BuddhaThemes Neo | Barber Shop WordPress Theme (neocut), Versionen 0 bis einschliesslich 3.5
- Spätere Versionen: unklar, der Hersteller hat nicht bestätigt, welche Version die Korrektur enthält
Behoben in
- Unbekannt. Es wurde keine Herstellermitteilung oder bestätigte korrigierte Version gefunden.
- Das ThemeForest-Changelog enthält einen Eintrag 3.8 mit dem Hinweis "Security Issues Fixed", es ist jedoch nicht bestätigt, dass dieser CVE-2026-94064 behebt.
Umgehung
- Keine vom Hersteller bestätigte Massnahme verfügbar.
- Theme deaktivieren oder entfernen, falls es nicht aktiv genutzt wird.
- Konten mit Anmeldeberechtigungen einschränken oder entfernen.
- Admin-Bereich per IP-Allowlist oder VPN absichern und auf unerwartete Konto- oder Admin-Änderungen überwachen.
- WordPress-Core, Plugins und PHP aktuell halten.
Ausnutzung
- CISA KEV: nicht gelistet.
- Öffentlicher Proof of Concept: in den durchgeführten Recherchen nicht gefunden.
- Ausnutzung in freier Wildbahn: in den geprüften Quellen nicht gemeldet.
- Patchstack erwartet eine Ausnutzung; CISA SSVC führt Exploitation als none und Automatable als no.
- EPSS um 0.0028 (niedrig).
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Theme inventarisieren und die installierte Version prüfen.
- BuddhaThemes schriftlich fragen, welche Version die Korrektur enthält, und diese über das ThemeForest-Konto beziehen.
- Falls keine Korrektur bestätigt wird, Theme deaktivieren und Entfernung oder Ersatz planen.
- Konten mit niedrigen Berechtigungen einschränken und Logs bis zur Behebung auf verdächtige Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CISA KEV status source (GitHub issue) github.com
- CVE record (Vulners) vulners.com
- CVE CNA record (Vulners CVEList) vulners.com
- Patchstack record (Vulners) vulners.com
- ThemeForest product page themeforest.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.