What’s Vulnerable › Vulnerabilities
CVE-2026-62014: WordPress EmojiNation theme <= 1.0.12 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-30
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in EmojiNation <= 1.0.12 versions.
Summary
EmojiNation, a WordPress theme from ThemeREX, contains an unauthenticated PHP Object Injection vulnerability in versions up to and including 1.0.12. With a CVSS score of 9.8, this critical flaw could allow remote attackers to inject malicious objects and potentially achieve code execution or full site compromise. No exploitation has been reported in CISA KEV, but the unauthenticated attack path makes it attractive to opportunists. Update the theme to a version later than 1.0.12 if available, or remove/disable it until a patched release exists.
يحتوي قالب WordPress المسمى EmojiNation من ThemeREX على ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في الإصدارات حتى 1.0.12 ضمناً. وبدرجة خطورة 9.8 وفق CVSS، قد تتيح هذه الثغرة الحرجة للمهاجمين عن بُعد حقن كائنات خبيثة واحتمال تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. لم يُرصد استغلال فعلي في قائمة CISA KEV، لكن مسار الهجوم دون مصادقة يجعله جاذباً للمهاجمين. يُنصح بالترقية إلى إصدار أحدث من 1.0.12 إن توفر، أو إزالة القالب أو تعطيله ريثما يصدر إصدار مُصحَّح.
Affected products
- ThemeREX EmojiNation: through 1.0.12
References
Get alerted when CVE-2026-62014 or the next vulnerability affects your stack