CVE-2026-62011: WordPress Bonbon theme <= 1.11 - PHP Object Injection vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.4% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-29 · updated 2026-10-30
Weakness: CWE-502

Description

Unauthenticated PHP Object Injection in Bonbon <= 1.11 versions.

Summary

The Bonbon WordPress theme (ThemeREX) through version 1.11 contains an unauthenticated PHP Object Injection vulnerability, rated critical with a CVSS score of 9.8. This flaw could allow remote attackers to inject malicious objects and potentially achieve code execution or full site compromise. It is not listed in CISA KEV and no active exploitation has been confirmed. Update the theme to a version newer than 1.11 if available, or remove/disable the theme until a patched release is provided.

تحتوي قالب WordPress المسمى Bonbon من ThemeREX حتى الإصدار 1.11 على ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة، وهي مصنفة حرجة بدرجة CVSS تبلغ 9.8. قد تسمح هذه الثغرة للمهاجمين عن بُعد بحقن كائنات خبيثة واحتمال تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولم يتم تأكيد استغلالها فعلياً. يجب تحديث القالب إلى إصدار أحدث من 1.11 إن توفر، أو إزالة القالب أو تعطيله حتى صدور نسخة مُصلحة.

Affected products

ThemeREX Bonbon: through 1.11

References

https://patchstack.com/database/wordpress/theme/bonbon/vulnerability/wordpress-bonbon-theme-1-11-php-object-injection-vulnerability?_s_id=cve

Get alerted when CVE-2026-62011 or the next vulnerability affects your stack