What’s Vulnerable › Vulnerabilities
CVE-2026-62012: WordPress Coinpress theme <= 1.0.15 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-29
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Coinpress <= 1.0.15 versions.
Summary
Coinpress, a WordPress theme from ThemeREX, contains an unauthenticated PHP Object Injection vulnerability in versions up to and including 1.0.15. With a CVSS score of 9.8, exploitation could allow an attacker to inject malicious objects and potentially achieve remote code execution or other serious compromise. There is no indication of active exploitation and the flaw is not in CISA KEV. Update the theme to a version later than 1.0.15 if available, or remove/disable it until a patched release is provided.
تحتوي قالب Coinpress من ThemeREX الخاص بـ WordPress على ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في الإصدارات حتى 1.0.15 включительно. وبدرجة خطورة CVSS تبلغ 9.8، قد تتيح الثغرة للمهاجم حقن كائنات خبيثة واحتمال تنفيذ تعليمات برمجية عن بُعد أو اختراق خطير آخر. لا توجد مؤشرات على استغلال نشط، والثغرة غير مدرجة في CISA KEV. يُنصح بتحديث القالب إلى إصدار أحدث من 1.0.15 إن توفر، أو إزالته أو تعطيله حتى صدور إصدار مُصحَّح.
Affected products
- ThemeREX Coinpress: through 1.0.15
References
Get alerted when CVE-2026-62012 or the next vulnerability affects your stack