CVE-2026-8365: Remote Code Execution im Blocksy WordPress Theme

Zusammenfassung

Das Blocksy Theme für WordPress enthält eine kritische Sicherheitslücke, die eine PHP Object Injection mit Remote Code Execution (RCE) ermöglicht. Die Vulnerabilität befindet sich in den Versionen bis einschließlich 2.1.35 und betrifft das REST API Feld ‚blocksy_meta‘ sowie die V200 Datenbankmigrationen. Authentifizierte Angreifer mit Contributor-Berechtigung und höher können beliebigen PHP-Code ausführen.

Betroffene Systeme

• Blocksy Theme für WordPress bis Version 2.1.35
• WordPress Installationen mit Blocksy Theme und aktivierter REST API
• Systeme mit durchgeführtem V200 Datenbankupgrade

Technische Details

Die Vulnerabilität entsteht durch zwei zusammenwirkende Schwachstellen:

1. Unzureichende Input-Sanitization: Die Funktion blocksy_sanitize_post_meta_options() validiert nur auf ‚<' und '>‚ Zeichen, blockiert jedoch nicht serialisierte PHP-Objekt-Strings. Dies ermöglicht das Speichern bösartiger Serialisierungen in Post Meta.

2. Unsichere Deserialisierung: Die SearchReplacer::run_recursively() Funktion deserialisiert während der Migration alle String-Werte mittels @unserialize() ohne Klassenbeschränkungen. Ein injiziertes Blocksy\RaiiPattern Objekt wird deserialisiert und triggert RaiiPattern::__destruct(), welche beliebige PHP Callables über call_user_func() ausführt.

Empfohlene Massnahmen

• Sofortiges Upgrade auf eine gepatchte Version durchführen
• REST API Zugriff auf nicht-administrative Benutzer beschränken
• Contributor-Rollen überprüfen und ggf. reduzieren
• Logs auf verdächtige Post Meta Operationen prüfen
• PHP Konfiguration: disable_classes in php.ini setzen (falls möglich)
• Regelmäßige WordPress und Plugin-Updates implementieren

Bewertung

CVSS Score: 8.8 (High)

Angriffsvektor: Network

Authentifizierung: Erforderlich (Contributor+)

Auswirkung: Kritisch – Vollständige Systemkompromittierung möglich

Status: Kein Patch verfügbar