CVE-2025-9191 - Houzez <= 4.1.6 - 认证用户（订阅者及以上权限）通过保存搜索功能实现PHP对象注入
概述
漏洞描述
WordPress的Houzez主题在4.1.6及之前的所有版本中，通过saved-search-item.php文件对不可信输入进行反序列化，存在PHP对象注入漏洞。这使得拥有订阅者及以上权限的认证攻击者能够注入PHP对象。
该漏洞软件中不存在已知的POP链，这意味着除非网站上安装了包含POP链的其他插件或主题，否则此漏洞不会产生影响。如果目标系统上通过额外安装的插件或主题存在POP链，则攻击者可能根据存在的POP链执行删除任意文件、检索敏感数据或执行代码等操作。
信息
发布日期： 2025年11月26日 13:16 最后修改日期： 2025年11月26日 13:16 可远程利用： 是！ 来源： security@wordfence.com
受影响产品
以下产品受到CVE-2025-9191漏洞的影响。即使cvefeed.io了解受影响产品的确切版本，以下表格中并未体现该信息。
暂无记录受影响的产品
总计受影响供应商： 0 | 产品： 0
CVSS评分
通用漏洞评分系统是一个用于评估软件和系统中漏洞严重性的标准化框架。我们收集并显示每个CVE来自不同来源的CVSS评分。
| 评分 | 版本 | 严重性 | 向量 | 可利用性评分 | 影响评分 | 来源 |
|---|---|---|---|---|---|---|
| 6.3 | CVSS 3.1 | 中危 | 2.8 | 3.4 | security@wordfence.com |
解决方案
- 将Houzez主题更新到最新版本以修复PHP对象注入问题。
- 更新Houzez主题到已打补丁的版本。
- 移除任何已安装的带有POP链的插件。
- 定期检查已安装的主题和插件代码。
参考链接（公告、解决方案和工具）
这里，您将找到一个精选的外部链接列表，提供与CVE-2025-9191相关的深入信息、实用解决方案和有价值的工具。
| URL | 资源 |
|---|---|
| https://favethemes.zendesk.com/hc/en-us/articles/360041639432-Changelog | |
| https://www.wordfence.com/threat-intel/vulnerabilities/id/b1c450d9-42d8-40f5-84fc-1bc0c8cfcf9b?source=cve |
CWE - 通用缺陷枚举
CVE标识特定漏洞实例，而CWE对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-9191与以下CWE相关联：
CWE-502：不可信数据的反序列化
常见攻击模式枚举与分类 (CAPEC)
常见攻击模式枚举与分类存储攻击模式，这些模式描述了对手利用CVE-2025-9191弱点所采用的常见属性和方法。
CAPEC-586：对象注入
GitHub上的公开利用概念验证
我们扫描GitHub仓库以检测新的概念验证利用。以下列表是在GitHub上发布的公开利用和概念验证的集合（按最近更新时间排序）。
结果限制在前15个仓库，以避免可能的性能问题。
（此处列表内容为空或未显示）
相关新闻报道
以下列表是在文章任何地方提及CVE-2025-9191漏洞的新闻。
结果限制在前20篇新闻文章，以避免可能的性能问题。
（此处列表内容为空或未显示）
漏洞历史记录
以下表格列出了对CVE-2025-9191漏洞所做的更改。漏洞历史记录详细信息有助于理解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
新CVE接收 来源： security@wordfence.com 日期： 2025年11月26日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | The Houzez theme for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 4.1.6 via deserialization of untrusted input in saved-search-item.php. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present. | |
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L | |
| 添加 | CWE | CWE-502 | |
| 添加 | 参考 | https://favethemes.zendesk.com/hc/en-us/articles/360041639432-Changelog | |
| 添加 | 参考 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b1c450d9-42d8-40f5-84fc-1bc0c8cfcf9b?source=cve |
EPSS评分历史
EPSS是对未来30天内观察到利用活动概率的每日估计。下图显示了该漏洞的EPSS评分历史。
（此处图表内容未显示）
漏洞评分详情
CVSS 3.1 基础CVSS评分： 6.3
| 攻击向量 | 攻击复杂度 | 所需权限 | 用户交互 | 范围 | 机密性影响 | 完整性影响 | 可用性影响 |
|---|---|---|---|---|---|---|---|
| 网络 | 低 | 低 | 无 | 未更改 | 低 | 低 | 低 |