What’s Vulnerable › Vulnerabilities
CVE-2026-62005: WordPress Muzicon theme <= 1.15 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Muzicon <= 1.15 versions.
Summary
Unauthenticated PHP Object Injection in the ThemeREX Muzicon WordPress theme affects versions up to and including 1.15, rated critical at CVSS 9.8. Because no authentication is required, remote attackers could exploit it to manipulate PHP objects, potentially leading to code execution or full site compromise. It is not listed in CISA KEV and no active exploitation has been confirmed. Update Muzicon to a version above 1.15 once available; if no fix exists, remove or disable the theme and review the site for signs of compromise.
توجد ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في قالب WordPress المسمى ThemeREX Muzicon، وتشمل الإصدارات حتى 1.15 ضمناً، وقد صُنّفت حرجة بدرجة CVSS 9.8. ولأنها لا تتطلب مصادقة، فقد يستغلها مهاجمون عن بُعد للتلاعب بكائنات PHP، مما قد يؤدي إلى تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولم يُؤكَّد استغلالها فعلياً. يُنصح بالترقية إلى إصدار أحدث من 1.15 فور توفره، وإذا لم يتوفر إصلاح فيجب إزالة القالب أو تعطيله وفحص الموقع بحثاً عن آثار اختراق.
Affected products
- ThemeREX Muzicon: through 1.15
References
Get alerted when CVE-2026-62005 or the next vulnerability affects your stack