CVE-2026-62015: WordPress Gamezone theme <= 1.1.11 - PHP Object Injection vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.4% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-29 · updated 2026-10-30
Weakness: CWE-502

Description

Unauthenticated PHP Object Injection in Gamezone <= 1.1.11 versions.

Summary

Unauthenticated PHP Object Injection exists in the ThemeREX Gamezone WordPress theme in versions up to and including 1.1.11, rated critical at CVSS 9.8. Because no authentication is required, remote attackers could exploit it to manipulate PHP objects, potentially leading to code execution or full site compromise. It is not listed in CISA KEV and no active exploitation is confirmed. Update the theme to a version later than 1.1.11 if available, or remove/disable the theme until a fix is released.

توجد ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة في قالب WordPress المسمى ThemeREX Gamezone في الإصدارات حتى 1.1.11 включительно، بتقييم خطورة 9.8 (حرجة). ولأن الاستغلال لا يتطلب تسجيل الدخول، فقد يتمكن المهاجمون عن بُعد من التلاعب بكائنات PHP مما قد يؤدي إلى تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولم يُؤكَّد استغلالها فعليًا. يُنصح بتحديث القالب إلى إصدار أحدث من 1.1.11 عند توفره، أو تعطيل القالب أو إزالته مؤقتًا حتى صدور إصلاح.

Affected products

ThemeREX Gamezone: through 1.1.11

References

https://patchstack.com/database/wordpress/theme/gamezone/vulnerability/wordpress-gamezone-theme-1-1-11-php-object-injection-vulnerability?_s_id=cve

Get alerted when CVE-2026-62015 or the next vulnerability affects your stack