What’s Vulnerable › Vulnerabilities
CVE-2026-54856: WordPress RexCoin theme <= 1.2.6 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.5% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in RexCoin <= 1.2.6 versions.
Summary
Unauthenticated PHP Object Injection exists in the ThemeREX RexCoin WordPress theme in versions up to and including 1.2.6, rated critical with a CVSS score of 9.8. Because no authentication is required, remote attackers can potentially exploit insecure deserialization to manipulate objects and, depending on available gadgets, achieve code execution or other serious compromise. No exploitation in the wild is confirmed and the flaw is not in CISA KEV. Update the theme to a version later than 1.2.6 if available, or remove/disable it until a patched release is issued.
توجد ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في قالب WordPress المسمى ThemeREX RexCoin في الإصدارات حتى 1.2.6 ضمناً، وقد صُنّفت حرجة بدرجة CVSS تبلغ 9.8. ولأن الثغرة لا تتطلب مصادقة، فقد يتمكن المهاجمون عن بُعد من استغلال إلغاء التسلسل غير الآمن للتلاعب بالكائنات، وقد يؤدي ذلك حسب الأدوات المتاحة إلى تنفيذ تعليمات برمجية أو اختراق جسيم. لا يوجد تأكيد لاستغلالها فعلياً ولم تُدرج في CISA KEV. يُنصح بالترقية إلى إصدار أحدث من 1.2.6 إن توفّر، أو إزالة القالب أو تعطيله ريثما يصدر إصدار مُصحّح.
Affected products
- ThemeREX RexCoin: through 1.2.6
References
Get alerted when CVE-2026-54856 or the next vulnerability affects your stack