What’s Vulnerable › Vulnerabilities
CVE-2026-61998: WordPress Le Truffe theme <= 1.1.7 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.5% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Le Truffe <= 1.1.7 versions.
Summary
Unauthenticated PHP Object Injection exists in the ThemeREX Le Truffe WordPress theme through version 1.1.7, rated critical at CVSS 9.8. An attacker who can reach the site without logging in may be able to inject a crafted PHP object, potentially leading to code execution or full site compromise depending on available gadget chains. The flaw is not listed in CISA KEV and no in-the-wild exploitation is confirmed. Update Le Truffe to a version later than 1.1.7 once the vendor releases a fix; if none is available, remove or disable the theme and review the site for signs of compromise.
توجد ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في قالب WordPress المسمى ThemeREX Le Truffe حتى الإصدار 1.1.7، وقد صُنّفت حرجة بدرجة CVSS 9.8. قد يتمكن المهاجم غير المسجل من الوصول إلى الموقع من حقن كائن PHP مُصمَّم، مما قد يؤدي إلى تنفيذ تعليمات برمجية أو اختراق كامل للموقع بحسب سلاسل الأدوات المتاحة. الثغرة غير مدرجة في قائمة CISA KEV ولا يوجد تأكيد باستغلالها فعلياً. يجب تحديث Le Truffe إلى إصدار أحدث من 1.1.7 فور إصدار المورّد إصلاحاً؛ وإذا لم يتوفر إصلاح، فاحذف القالب أو عطّله وراجع الموقع بحثاً عن أي آثار لاختراق.
Affected products
- ThemeREX Le Truffe: through 1.1.7
References
Get alerted when CVE-2026-61998 or the next vulnerability affects your stack