CVE-2026-62017: WordPress Good Homes theme <= 1.3.13 - PHP Object Injection vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.4% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-29 · updated 2026-10-29
Weakness: CWE-502

Description

Unauthenticated PHP Object Injection in Good Homes <= 1.3.13 versions.

Summary

Good Homes, a WordPress theme by ThemeREX, is vulnerable to unauthenticated PHP Object Injection in versions up to and including 1.3.13, rated critical (CVSS 9.8). Because no authentication is required, remote attackers could exploit the flaw to manipulate PHP objects, potentially leading to code execution, data theft, or full site compromise. The issue is not listed in CISA KEV and no active exploitation has been confirmed. Update the theme to a version later than 1.3.13 if available, or remove/disable the theme until a patched release exists.

ثغرة حقن كائنات PHP (PHP Object Injection) في قالب WordPress المسمى Good Homes من ThemeREX، وتؤثر في الإصدارات حتى 1.3.13 ضمنًا، بتقييم خطورة 9.8 (حرجة). ولأن الثغرة لا تتطلب مصادقة، يمكن للمهاجمين عن بُعد استغلالها للتلاعب بكائنات PHP، مما قد يؤدي إلى تنفيذ تعليمات برمجية أو سرقة بيانات أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV ولم يُؤكَّد استغلالها فعليًا. يُنصح بالترقية إلى إصدار أحدث من 1.3.13 إن توفر، أو إزالة القالب أو تعطيله ريثما يصدر إصدار مُصحَّح.

Affected products

ThemeREX Good Homes: through 1.3.13

References

https://patchstack.com/database/wordpress/theme/good-homes/vulnerability/wordpress-good-homes-theme-1-3-13-php-object-injection-vulnerability?_s_id=cve

Get alerted when CVE-2026-62017 or the next vulnerability affects your stack