What’s Vulnerable › Vulnerabilities
CVE-2026-62013: WordPress Edge Decor theme <= 2.9 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-29
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Edge Decor <= 2.9 versions.
Summary
Edge Decor, a WordPress theme from ThemeREX, is vulnerable to unauthenticated PHP Object Injection in versions up to and including 2.9, rated critical at CVSS 9.8. An attacker needs no login to send crafted input that may lead to object injection, potentially enabling code execution or other serious compromise of the site. There is no indication of active exploitation and the flaw is not in CISA KEV. Update the theme to a version later than 2.9 if available, or remove/disable it until a fix is released; consider a WAF and monitoring as interim mitigation.
ثغرة في قالب Edge Decor الخاص بـ WordPress من ThemeREX تتيح حقن كائنات PHP (PHP Object Injection) دون مصادقة في الإصدارات حتى 2.9، وتصنَّف حرجة بدرجة CVSS 9.8. لا يحتاج المهاجم إلى تسجيل الدخول لإرسال مدخلات مصممة قد تؤدي إلى حقن كائنات واحتمال تنفيذ تعليمات برمجية أو اختراق خطير للموقع. لا توجد مؤشرات على استغلال نشط، والثغرة غير مدرجة في CISA KEV. يُنصح بالترقية إلى إصدار أحدث من 2.9 عند توفره، أو إزالة القالب أو تعطيله حتى صدور إصلاح، مع استخدام جدار حماية تطبيقات الويب والمراقبة كإجراء مؤقت.
Affected products
- ThemeREX Edge Decor: through 2.9
References
Get alerted when CVE-2026-62013 or the next vulnerability affects your stack