What’s Vulnerable › Vulnerabilities
CVE-2026-62008: WordPress Orpheus theme <= 1.8 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-29
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Orpheus <= 1.8 versions.
Summary
The Orpheus theme for WordPress (versions up to and including 1.8) from ThemeREX contains an unauthenticated PHP Object Injection vulnerability, rated critical with a CVSS score of 9.8. An attacker can supply crafted serialized data without logging in, potentially leading to object injection and, depending on available classes, remote code execution or other serious impact. It is not listed in CISA KEV and no exploitation has been reported. Update the theme to a version later than 1.8 if available, or remove/disable the theme until a fixed release is installed.
تحتوي قالب Orpheus الخاص بـ WordPress (الإصدارات حتى 1.8 ضمناً) من ThemeREX على ثغرة حقن كائنات PHP من دون مصادقة، وهي مصنّفة حرجة بدرجة CVSS تبلغ 9.8. يستطيع المهاجم إرسال بيانات مُسلسلة مصممة خصيصاً دون تسجيل الدخول، ما قد يؤدي إلى حقن كائنات واحتمال تنفيذ تعليمات برمجية عن بُعد أو تأثيرات خطيرة أخرى بحسب الفئات المتاحة. الثغرة غير مدرجة في CISA KEV ولم يُبلَّغ عن استغلالها. يُنصح بالترقية إلى إصدار أحدث من 1.8 إن توفّر، أو إزالة القالب أو تعطيله مؤقتاً حتى تركيب نسخة مُصلحة.
Affected products
- ThemeREX Orpheus: through 1.8
References
Get alerted when CVE-2026-62008 or the next vulnerability affects your stack