What’s Vulnerable › Vulnerabilities
CVE-2026-62003: WordPress Mission theme <= 1.22 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Mission <= 1.22 versions.
Summary
Unauthenticated PHP Object Injection in the ThemeREX Mission WordPress theme affects versions up to and including 1.22, rated critical at CVSS 9.8. Because no authentication is required, remote attackers can send crafted input that may lead to object injection and, depending on available gadgets, code execution or other serious compromise. The flaw is not listed in CISA KEV, so no known active exploitation is confirmed. Update the Mission theme to a version above 1.22 once available, or disable and remove the theme until a fixed release exists.
توجد ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في قالب WordPress المسمى ThemeREX Mission، وتشمل الإصدارات حتى 1.22، وقد صُنّفت حرجة بدرجة CVSS 9.8. ولأن الثغرة لا تتطلب تسجيل الدخول، يمكن للمهاجمين عن بُعد إرسال مدخلات مصممة قد تؤدي إلى حقن كائنات، واحتمال تنفيذ تعليمات برمجية أو اختراق جسيم بحسب الأدوات المتاحة. الثغرة غير مدرجة في CISA KEV، لذا لا يوجد تأكيد باستغلالها فعلياً. يُنصح بالترقية إلى إصدار أحدث من 1.22 فور توفره، أو تعطيل القالب وإزالته إلى حين صدور إصدار مُصلح.
Affected products
- ThemeREX Mission: through 1.22
References
Get alerted when CVE-2026-62003 or the next vulnerability affects your stack