What’s Vulnerable › Vulnerabilities
CVE-2026-54857: WordPress Quirky theme <= 1.23 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.5% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Quirky <= 1.23 versions.
Summary
CVE-2026-54857 is a critical unauthenticated PHP Object Injection flaw in the ThemeREX Quirky WordPress theme, affecting versions up to and including 1.23. With a CVSS score of 9.8, it could allow an attacker to inject malicious objects and potentially achieve remote code execution or other serious compromise. It is not listed in CISA KEV, so there is no confirmed active exploitation, but the low attack complexity and lack of authentication make it a high priority. Update Quirky to a version later than 1.23 if available, or remove/disable the theme until a patched release is confirmed.
CVE-2026-54857 هو ثغرة حرجة من نوع PHP Object Injection يمكن استغلالها دون مصادقة في قالب WordPress الخاص بـ ThemeREX Quirky، وتؤثر على الإصدارات حتى 1.23 включительно. وبتقييم CVSS يبلغ 9.8، قد تسمح للمهاجم بحقن كائنات خبيثة مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد أو اختراق خطير آخر. الثغرة غير مدرجة في CISA KEV، لذا لا يوجد تأكيد لاستغلال نشط، لكن سهولة الهجوم وغياب المصادقة يجعلانها أولوية عالية. يجب تحديث Quirky إلى إصدار أحدث من 1.23 إن توفر، أو إزالة القالب أو تعطيله حتى تأكيد صدور إصدار مُصحَّح.
Affected products
- ThemeREX Quirky: through 1.23
References
Get alerted when CVE-2026-54857 or the next vulnerability affects your stack