What’s Vulnerable › Vulnerabilities
CVE-2026-54860: WordPress Ozisti theme <= 1.1.10 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.5% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Ozisti <= 1.1.10 versions.
Summary
CVE-2026-54860 is a critical (CVSS 9.8) unauthenticated PHP Object Injection vulnerability in the ThemeREX Ozisti WordPress theme, affecting versions up to and including 1.1.10. Because no authentication is required, remote attackers could exploit it to manipulate PHP objects, potentially leading to code execution, data theft, or full site compromise. The flaw is not listed in CISA KEV and no active exploitation has been confirmed in the provided facts. Update Ozisti to a version later than 1.1.10 if available, or remove/disable the theme until a patched release is issued.
CVE-2026-54860 ثغرة حرجة (CVSS 9.8) من نوع حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في قالب WordPress المسمى ThemeREX Ozisti، وتؤثر في الإصدارات حتى 1.1.10 شاملةً. ولأن الثغرة لا تتطلب مصادقة، فقد يستغلها مهاجمون عن بُعد للتلاعب بكائنات PHP، مما قد يؤدي إلى تنفيذ تعليمات برمجية أو سرقة بيانات أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولم يرد في المعطيات تأكيد استغلالها فعلياً. يُنصح بالترقية إلى إصدار أحدث من 1.1.10 إن توفر، أو إزالة القالب أو تعطيله مؤقتاً حتى صدور تحديث مُعالج.
Affected products
- ThemeREX Ozisti: through 1.1.10
References
Get alerted when CVE-2026-54860 or the next vulnerability affects your stack