What’s Vulnerable › Vulnerabilities
CVE-2026-62001: WordPress Marcell theme <= 1.2.14 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.5% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-29
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Marcell <= 1.2.14 versions.
Summary
The Marcell theme for WordPress (versions up to and including 1.2.14) contains an unauthenticated PHP Object Injection vulnerability, rated critical with a CVSS score of 9.8. An attacker could exploit it without logging in, potentially leading to remote code execution or full site compromise. It is not listed in CISA KEV and no active exploitation is currently reported. Update the ThemeREX Marcell theme to a version newer than 1.2.14 once a patched release is available, and consider disabling or removing the theme if it is not in use.
تحتوي قالب Marcell الخاص بـ WordPress (الإصدارات حتى 1.2.14 ضمناً) على ثغرة حقن كائنات PHP من دون مصادقة، وهي مصنفة حرجة بدرجة CVSS تبلغ 9.8. يمكن للمهاجم استغلالها دون تسجيل الدخول، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولا توجد تقارير حالية عن استغلال نشط. يُنصح بتحديث قالب ThemeREX Marcell إلى إصدار أحدث من 1.2.14 فور توفر إصدار مُصحَّح، أو تعطيل القالب أو إزالته إن لم يكن مستخدماً.
Affected products
- ThemeREX Marcell: through 1.2.14
References
Get alerted when CVE-2026-62001 or the next vulnerability affects your stack