What’s Vulnerable › Vulnerabilities
CVE-2026-62010: WordPress Avventure theme <= 1.1.12 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Avventure <= 1.1.12 versions.
Summary
The Avventure theme for WordPress (versions up to and including 1.1.12) contains an unauthenticated PHP Object Injection vulnerability, rated critical with a CVSS score of 9.8. An attacker without any login can supply crafted input that is unserialized into PHP objects, potentially leading to remote code execution, file deletion, or full site compromise depending on available gadget chains. It is not listed in CISA KEV, so no confirmed in-the-wild exploitation is known. Update the ThemeREX Avventure theme to a version newer than 1.1.12 as soon as a fixed release is available; if none exists, disable or remove the theme and review site logs for suspicious requests.
تحتوي قالب Avventure الخاص بـ WordPress (الإصدارات حتى 1.1.12 شاملة) على ثغرة حقن كائنات PHP (PHP Object Injection) يمكن استغلالها دون مصادقة، وتصنَّف حرجة بدرجة CVSS تبلغ 9.8. يستطيع مهاجم غير مسجّل تقديم مدخلات مصممة تُحوَّل إلى كائنات PHP، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد أو حذف ملفات أو اختراق الموقع بالكامل حسب سلاسل الأدوات المتاحة. الثغرة غير مدرجة في CISA KEV، لذا لا يُعرف استغلال مؤكد في الواقع. يجب تحديث قالب ThemeREX Avventure إلى إصدار أحدث من 1.1.12 فور توفر إصدار مُصلح، وإن لم يتوفر فعطّل القالب أو أزله وراجع سجلات الموقع بحثًا عن طلبات مشبوهة.
Affected products
- ThemeREX Avventure: through 1.1.12
References
Get alerted when CVE-2026-62010 or the next vulnerability affects your stack