BuddhaThemes ColorFolio: PHP Object Injection im WordPress-Theme
Zusammenfassung
Das WordPress-Theme ColorFolio von BuddhaThemes bis und mit Version 1.3 deserialisiert unvertrauenswürdige Daten (CWE-502), was PHP Object Injection ermöglicht. Ein Angreifer, der präparierte serialisierte Daten übermitteln kann, kann die Datenverarbeitung der Website manipulieren, was zu schädlichen Aktionen, Denial of Service oder je nach installierten Komponenten zur Codeausführung führen kann. Ein offizieller Patch ist nicht verfügbar, und die Quellen widersprechen sich, ob ein Benutzerkonto erforderlich ist (PR:L gegenüber PR:N).
Betroffen
- BuddhaThemes ColorFolio WordPress-Theme, Versionen bis und mit 1.3
- Versionen vor 1.3 sind vermutlich ebenfalls betroffen (nicht bestätigt)
Behoben in
Unbekannt. Es wurde keine korrigierte Version und keine Herstellerwarnung gefunden.
Umgehung
- Theme ersetzen; dies ist die einzige Massnahme, welche die Schwachstelle vollständig beseitigt
- Beim WAF- oder Virtual-Patch-Anbieter prüfen, ob eine Regel CVE-2026-94065 explizit abdeckt (nicht verifiziert)
- Zugriff auf den Administrationsbereich einschränken und Benutzerregistrierungen begrenzen
- Vor jeder Änderung ein vollständiges Backup erstellen und alle Websites mit diesem Theme erfassen
- Weitere installierte Plugins prüfen, da Object Injection von deren Code abhängt
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn
- Kein öffentlicher Exploit identifiziert
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung, basierend auf der Einschätzung der verwandten CVE-2026-27096
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Alle WordPress-Websites mit installiertem ColorFolio erfassen, inklusive Staging-Kopien
- Ersatz des Themes durch ein gewartetes Alternativprodukt planen; nicht auf einen Patch warten
- Bis zum Ersatz die WAF- bzw. Virtual-Patch-Abdeckung bestätigen und Administrationszugriff sowie Benutzerregistrierungen einschränken
- Herstellerseiten, Patchstack und NVD auf eine korrigierte Version überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: PHP Object Injection in WordPress ColorFolio Theme patchstack.com
- Vulners: CVELIST:CVE-2026-94065 vulners.com
- PSIRT: CVE-2026-94065 psirt.com
- Patchstack: related ColorFolio vulnerability CVE-2026-27096 patchstack.com
- NVD: CVE-2026-27096 nvd.nist.gov
- Strix: CVE-2026-94065 www.strix.ai
- Liquid Web: WordPress vulnerability report, March 11, 2026 www.liquidweb.com
- Vulners: Patchstack record PATCHSTACK:9375808982184F0246823B1D0C46D8B5 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.