What’s Vulnerable › Vulnerabilities
CVE-2026-62018: WordPress Gunslinger theme <= 1.11 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-29 · updated 2026-10-29
- Weakness: CWE-502
Description
Unauthenticated PHP Object Injection in Gunslinger <= 1.11 versions.
Summary
The Gunslinger WordPress theme (ThemeREX) through version 1.11 contains an unauthenticated PHP Object Injection vulnerability, rated critical with a CVSS score of 9.8. An attacker can supply crafted serialized input without logging in, potentially leading to object injection and, depending on available gadget chains, serious compromise of the site. All sites running Gunslinger 1.11 or earlier are affected. The flaw is not listed in CISA KEV and no active exploitation is confirmed in the provided data. Update the theme to a version later than 1.11 once the vendor releases a fix; if no patch is available, remove or disable the theme and review for suspicious serialized input.
تحتوي قالب WordPress المسمى Gunslinger من ThemeREX حتى الإصدار 1.11 على ثغرة حقن كائنات PHP (PHP Object Injection) يمكن استغلالها دون مصادقة، وقد صُنّفت حرجة بدرجة CVSS تبلغ 9.8. يستطيع المهاجم إرسال مدخلات مُسلسلة (serialized) مصمّمة خصيصًا دون تسجيل الدخول، ما قد يؤدي إلى حقن كائنات واحتمال اختراق الموقع بشكل جسيم حسب سلاسل الأدوات المتاحة. تتأثر جميع المواقع التي تستخدم Gunslinger 1.11 أو إصدارات أقدم. الثغرة غير مدرجة في CISA KEV ولا تؤكد البيانات المتوفرة استغلالًا فعليًا لها. يجب تحديث القالب إلى إصدار أحدث من 1.11 فور إصدار المورّد للإصلاح، وفي حال عدم توفر تصحيح يُنصح بإزالة القالب أو تعطيله ومراجعة أي مدخلات مُسلسلة مشبوهة.
Affected products
- ThemeREX Gunslinger: through 1.11
References
Get alerted when CVE-2026-62018 or the next vulnerability affects your stack