What’s Vulnerable › Vulnerabilities
CVE-2026-61997: WordPress Legal Stone theme <= 1.2.11 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.5% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Legal Stone <= 1.2.11 versions.
Summary
Legal Stone, a WordPress theme by ThemeREX, contains an unauthenticated PHP Object Injection vulnerability in versions up to and including 1.2.11, rated critical with a CVSS score of 9.8. Because no authentication is required, remote attackers can potentially exploit object injection to trigger dangerous gadget chains, which may lead to code execution, data exposure, or full site compromise. The flaw is not listed in CISA KEV, so there is no confirmed evidence of active exploitation in the wild. Update the theme to a version later than 1.2.11 if available, or remove/disable the theme until a patched release is issued.
تحتوي قالب WordPress المسمى Legal Stone من ThemeREX على ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في الإصدارات حتى 1.2.11، وهي مصنفة حرجة بدرجة CVSS تبلغ 9.8. ولأن الثغرة لا تتطلب مصادقة، يمكن للمهاجمين عن بُعد استغلال حقن الكائنات لتفعيل سلاسل أدوات خطرة قد تؤدي إلى تنفيذ تعليمات برمجية أو كشف بيانات أو اختراق الموقع بالكامل. الثغرة غير مدرجة في قائمة CISA KEV، ولا توجد أدلة مؤكدة على استغلالها فعلياً. يُنصح بالترقية إلى إصدار أحدث من 1.2.11 عند توفره، أو إزالة القالب أو تعطيله مؤقتاً حتى صدور تحديث أمني.
Affected products
- ThemeREX Legal Stone: through 1.2.11
References
Get alerted when CVE-2026-61997 or the next vulnerability affects your stack