Zes kwetsbaarheden gepubliceerd voor het thema OceanWP sinds 2020, waarvan maar één met een hoge ernst, en twintig voor Ocean Extra, de plugin die het thema op de meeste sites vergezelt. Dit dossier houdt de twee duidelijk uit elkaar, legt uit waarom de begeleidende plugin zwaarder doorweegt in de balans dan het thema, en geeft de minimale versies waarop je op 13 juni 2026 moet mikken.
OceanWP in het kort
OceanWP is een gratis thema dat in juni 2017 op wordpress.org werd gepubliceerd door het bedrijf OceanWP LLC. Het is veelzijdig, werkt met Elementor, Gutenberg en WooCommerce en telt meer dan 400.000 actieve installaties (wordpress.org). Het verdienmodel draait om plugins: een gratis plugin, Ocean Extra, eveneens op meer dan 400.000 sites geïnstalleerd, en een reeks officiële plugins, gratis of betaald (sociaal delen, modale vensters, producten delen, premium pluginpakket).
Die opsplitsing is belangrijk. Een thema is vooral een verzameling templates die inhoud weergeven; de functies die gegevens ontvangen, zitten eerder in de begeleidende plugin. Ocean Extra, dat volgens de pluginpagina "alleen werkt met het thema OceanWP", voegt header- en footertemplates toe, instellingen per pagina, het importeren van demo's, widgets, megamenu's, shortcodes (kruimelpad, ingelogde gebruiker, WooCommerce-winkelwagen) en het importeren van Customizer-instellingen. Elke shortcode en elke widget is een extra invoer die gefilterd moet worden.
Door die populariteit is OceanWP een homogeen doelwit: dezelfde kwetsbaarheid komt identiek voor op honderdduizenden sites, zolang ze niet zijn bijgewerkt.
Tijdlijn van de kwetsbaarheden van 2020 tot juni 2026
Het thema OceanWP: zes kwetsbaarheden
De tabel bevat de kwetsbaarheden in het thema die van 1 januari 2020 tot 13 juni 2026 zijn gepubliceerd volgens Patchstack (WPScan vermeldt er vijf, zonder die van 2023), vergeleken met de CVE-vermeldingen. De CVSS-score is die van de instantie die de CVE toekende. Geen enkele is als misbruikt gedocumenteerd.
| Publicatie | Gepatcht in | Type | CVSS | CVE | Account vereist |
|---|---|---|---|---|---|
| 27 februari 2023 | 3.4.2 | Local file inclusion (themapaneel) | 7,6 (Patchstack) | CVE-2023-23700 | Abonnee |
| 28 maart 2024 | 3.5.5 | Ontbrekende autorisatie, blootstelling van gevoelige gegevens | 4,3 | CVE-2024-2476 | Abonnee |
| 18 juni 2025 | 4.1.0 | Stored XSS (HTML-tag Select) | 4,9 | CVE-2025-5524 | Bijdrager |
| 2 juli 2025 | 3.6.1 | Stored XSS via de bibliotheek Magnific Popup | 6,4 | CVE-2024-5647 | Bijdrager |
| 12 augustus 2025 | 4.1.2 (getroffen: 4.0.9 tot 4.1.1) | CSRF die leidt tot de installatie van Ocean Extra | 4,3 | CVE-2025-8891 | Geen (beheerder in de val gelokt) |
| 15 augustus 2025 | 4.1.2 | Ontbrekende autorisatie (optie voor de donkere modus) | 4,3 (WPScan) | CVE-2025-8944 | Abonnee |
Ocean Extra, de begeleidende plugin: twintig kwetsbaarheden
Ocean Extra wordt apart bijgewerkt, via Plugins. WPScan schrijft er 20 kwetsbaarheden aan toe die van 1 januari 2020 tot 13 juni 2026 zijn gepubliceerd (Patchstack telt er 21, omdat het een probleem uit 2022 in tweeën splitst). Drie komen uit de Freemius SDK, een licentiebibliotheek die in honderden plugins is ingebouwd: ze zijn gemarkeerd met "SDK".
| Publicatie | Gepatcht in | Type | CVSS | CVE | Account vereist |
|---|---|---|---|---|---|
| 16 september 2020 | 1.6.6 | CSRF | 4,3 | CVE-2020-36760 | Geen (beheerder in de val gelokt) |
| 28 februari 2022 | 1.9.4 | SDK: ontbrekende autorisatie | 6,3 | CVE-2022-4974 | Ingelogd |
| 24 mei 2022 | 1.9.5 | Reflected XSS | 6,1 (WPScan) | CVE-2021-25104 | Geen (klik op een link) |
| 10 oktober 2022 | 2.0.5 | PHP-objectinjectie (importeren van stijlen) | 5,5 (WPScan) | CVE-2022-3374 | Beheerder |
| 2 februari 2023 | 2.1.2 | Stored XSS (shortcode kruimelpad) | 5,5 (Patchstack) | CVE-2023-23891 | Bijdrager |
| 14 februari 2023 | 2.1.3 | Stored XSS (zoek-shortcode) | 5,5 (Patchstack) | CVE-2023-24399 | Bijdrager |
| 14 februari 2023 | 2.1.3 | Lezen van privé-inhoud | 6,5 | CVE-2023-0749 | Abonnee |
| 18 juli 2023 | 2.1.8 | SDK: reflected XSS | 6,1 (WPScan) | geen | Geen (klik op een link) |
| 28 november 2023 | 2.2.3 | CSRF die leidt tot het activeren van plugins | 5,4 (Patchstack) | CVE-2023-49164 | Geen (beheerder in de val gelokt) |
| 16 februari 2024 | 2.2.5 | Stored XSS (aangepaste velden) | 6,4 | CVE-2024-1277 | Bijdrager |
| 8 april 2024 | 2.2.7 | Stored XSS (deelwidget) | 6,4 | CVE-2024-3167 | Bijdrager |
| 10 juni 2024 | 2.2.9 | Stored XSS (Flickr-widget) | 6,4 | CVE-2024-5531 | Bijdrager |
| 4 juli 2024 | 2.3.0 | Stored XSS | 6,5 (Patchstack) | CVE-2024-37489 | Bijdrager |
| 21 april 2025 | 2.4.7 | Uitvoeren van willekeurige shortcodes | 6,5 (9,8 volgens de NVD) | CVE-2025-3472 | Geen |
| 21 april 2025 | 2.4.7 | Stored XSS (ocean_gallery_id) | 6,4 | CVE-2025-3458 | Bijdrager |
| 21 april 2025 | 2.4.7 | Stored XSS (shortcode oceanwp_icon) | 6,4 | CVE-2025-3457 | Bijdrager |
| 2 juni 2025 | 2.4.9 | Stored XSS | 6,5 (Patchstack) | CVE-2025-49068 | Bijdrager |
| 29 augustus 2025 | 2.5.0 | Stored XSS (shortcode oceanwp_library) | 6,4 | CVE-2025-9499 | Bijdrager |
| 7 april 2026 | 2.5.4 | Gebrekkige toegangscontrole | 5,4 (Patchstack) | CVE-2026-34903 | Abonnee |
| 30 april 2026 | 2.4.4 | SDK: DOM-gebaseerde reflected XSS | 6,1 | CVE-2024-13362 | Geen (klik op een link) |
De opvallende kwetsbaarheden uitgelegd
2023 en 2024: het themapaneel open voor abonnees
De twee ernstigste kwetsbaarheden in het thema betreffen het beheerpaneel van OceanWP, dat via AJAX-verzoeken wordt geladen. In februari 2023 toonde Rafie Muhammad (Patchstack) aan dat een gewone abonnee de site lokale bestanden van de server kon laten insluiten (CVE-2023-23700, CVSS 7,6, de enige hoge kwetsbaarheid van het thema), waardoor gevoelige bestanden kunnen uitlekken. Ze werd op 15 februari gemeld, op 22 februari gepatcht in 3.4.2 en op 27 februari gepubliceerd.
Een jaar later stelde Craig Smith vast dat de functie load_theme_panel_pane de rechten niet controleerde: een abonnee kon systeeminformatie of API-sleutels lezen die in de instellingen waren opgeslagen (CVE-2024-2476, CVSS 4,3). Melding door Wordfence op 18 maart 2024, versie 3.5.5 op 27 maart, publicatie op 28 maart.
2025: vier gemiddelde kwetsbaarheden in twee maanden
De zomer van 2025 bevat de rest van de geschiedenis van het thema. CVE-2025-5524 is een stored XSS: een bijdrager kon JavaScript binnensmokkelen via het script voor keuzelijsten, dat daarna bij elke bezoeker werd uitgevoerd (zie ons artikel over XSS-kwetsbaarheden). De kwetsbaarheid werd gemeld door Asaf Mozes, op 17 juni gepatcht in 4.1.0 en de dag erna gepubliceerd.
CVE-2024-5647 komt van elders: uit Magnific Popup 1.1.0, een JavaScript-bibliotheek die in veel thema's en plugins is ingebouwd. Wordfence waarschuwde de uitgevers al in juni 2024 en publiceerde de gezamenlijke vermelding pas op 2 juli 2025; OceanWP had de bibliotheek al op 8 oktober 2024 bijgewerkt in 3.6.1.
In augustus patchte versie 4.1.2 (11 augustus 2025) twee kwetsbaarheden. Dmitrii Ignatyev (CleanTalk) meldde op 6 augustus dat de AJAX-actie oceanwp_notice_button_click, gekoppeld aan de melding die voorstelt Ocean Extra te installeren, geen anti-CSRF-token controleerde: volgens de vermelding CVE-2025-8891 kan een ingelogde beheerder die op een valstriklink klikt, ongemerkt Ocean Extra laten installeren. En CVE-2025-8944 (WPScan, Hamit Cibo) liet een abonnee de instelling van de donkere modus wijzigen.
Ocean Extra, april 2025: shortcodes uitgevoerd zonder account
De opvallendste kwetsbaarheid van het ecosysteem is CVE-2025-3472. Tot en met versie 2.4.6 gaf een actie van Ocean Extra een ontvangen waarde zonder validatie door aan de functie do_shortcode: op een site met actieve WooCommerce kon een niet-ingelogde bezoeker een shortcode naar keuze laten uitvoeren. De ernst hangt af van de shortcodes die op de site aanwezig zijn. Wordfence, als CVE-instantie, gaf haar 6,5; de NVD-database van het NIST kent haar 9,8 toe. Ze werd gemeld door Matthew Rollings en maakte deel uit van drie meldingen van Wordfence van 11 april 2025, allemaal gepatcht in 2.4.7 op 21 april, de dag van publicatie.
Ocean Extra: de andere soorten kwetsbaarheden
- Stored XSS: tien van de twintig kwetsbaarheden. Een bijdrager voegt code in een attribuut van een shortcode of widget in (kruimelpad, pictogram, galerij, Flickr, templatebibliotheek), en die code wordt uitgevoerd bij elke bezoeker, ook bij de beheerder.
- Lezen van privé-inhoud (CVE-2023-0749): de template-shortcode controleerde niet of de opgevraagde ID wel een template was. Een abonnee kon elke inhoud weergeven, ook concepten, privé-inhoud of met een wachtwoord beveiligde inhoud. Gemeld door Erwan LR (WPScan), gepatcht in 2.1.3 op 13 februari 2023.
- CSRF: in 2023 toonde Dave Jong (Patchstack) aan dat een valstriklink een ingelogde beheerder elke geïnstalleerde plugin kon laten activeren (CVE-2023-49164), gepatcht in 2.2.3 de dag vóór de publicatie.
- PHP-objectinjectie (CVE-2022-3374): het importeren van een bestand met Customizer-instellingen deserialiseerde de inhoud ervan. Een beheerder moest wel een gemanipuleerd bestand importeren: het mechanisme wordt uitgelegd in ons artikel over PHP-objectinjectie.
- Toegangscontrole (CVE-2026-34903): op 27 januari 2026 via Patchstack gemeld door Nguyen Ba Khanh, gepatcht in versie 2.5.4 van 9 maart en gepubliceerd op 7 april 2026. Patchstack geeft haar een lage prioriteit.
De andere officiële Ocean-plugins
Nog een officiële plugin verdient vermelding. In Ocean Modal Window (meer dan 10.000 actieve installaties) werden de weergavevoorwaarden van een modaal venster, die een redacteur kan instellen, doorgegeven aan de PHP-functie eval: een redacteursaccount was genoeg om code op de server uit te voeren (CVE-2025-13307, CVSS 7,2 volgens WPScan, onderzoeker Alex Tselevich). Patch in 2.3.3 op 26 november 2025, publicatie op 28 november. Ocean Social Sharing (meer dan 60.000 installaties) had een stored XSS door een bijdrager (CVE-2025-7500, CVSS 6,4), gepatcht in 2.2.2 op 22 juli 2025.
Wat deze geschiedenis laat zien
- Het thema is weinig getroffen, de plugin meer: zes kwetsbaarheden tegenover twintig in dezelfde periode. OceanWP beoordelen op het thema alleen zou te gunstig zijn: op een echte site worden de twee samen geïnstalleerd.
- Abonnees zijn een reëel risico: drie kwetsbaarheden in het thema en twee in Ocean Extra zijn uitbuitbaar met een gewoon abonneeaccount. Op een WooCommerce-site is elke klant die een account aanmaakt er een.
- Snelle patches: wanneer de data bekend zijn, patchte de uitgever meestal binnen twee weken na ontvangst van de melding, en altijd vóór of op de dag van de openbare aankondiging. Het wijzigingslogboek vermeldt telkens de melding (Wordfence, Patchstack, WPScan, CleanTalk) en de datum ervan.
- Andermans code telt ook mee: drie kwetsbaarheden in Ocean Extra komen uit de Freemius SDK en één in het thema uit de bibliotheek Magnific Popup. Door het thema en de plugin bij te werken, worden ook deze ingebouwde componenten bijgewerkt.
Dit profiel is niets bijzonders: de tijdlijn van de beveiligingsversies van de WordPress-core laat zien dat geen enkele software aan patches ontsnapt. Het verschil zit in de tijd tussen het verschijnen van een patch en de installatie ervan.
Jezelf beschermen
- Werk het thema en de plugin apart bij: mik op 13 juni 2026 op minstens OceanWP 4.1.2 en Ocean Extra 2.5.4. Het thema werk je bij via Weergave, Ocean Extra via Plugins.
- Schakel automatische updates in voor het thema en Ocean Extra; onze gids over automatische updates legt uit hoe je het risico op problemen beperkt.
- Verwijder ongebruikte Ocean-plugins (zie verlaten en overbodige plugins). Ben je overgestapt van OceanWP, verwijder dan ook Ocean Extra: de plugin werkt alleen met dit thema.
- Beperk het aantal accounts: sluit de openbare registratie als je die niet gebruikt en geef de rollen Bijdrager en Redacteur alleen aan wie ze nodig heeft (rollen en minimale rechten). In een webwinkel zijn klantaccounts onvermijdelijk (zie een WooCommerce-winkel beveiligen).
- Voeg een applicatiefirewall toe om de periode tussen de aankondiging van een kwetsbaarheid en jouw update te overbruggen (onze vergelijking van WordPress-firewalls).
- Volg de aankondigingen voor het thema en voor elke Ocean-plugin, zoals beschreven in onze methode om kwetsbaarheden te bewaken.
WP Masquerade Pro helpt bij dat laatste punt. Het vergelijkt elke dag de geïnstalleerde versies van je plugins en thema's met de openbare database WPVulnerability.net en stuurt je een kwetsbaarheidsmelding per e-mail, met de ernst en de gepatchte versie. In de klantenzone bundelt de bewaking van je sites de openstaande updates en de kwetsbare sites. WP Masquerade waarschuwt: het patcht het thema en de plugin niet en is geen firewall, bijwerken blijft de beslissende stap. Om een firewall te kiezen, bekijk je onze vergelijking van de beste WordPress-beveiligingsplugins.
Om te onthouden
- Het thema OceanWP telt 6 gepubliceerde kwetsbaarheden van 2020 tot 13 juni 2026, waarvan maar één met een hoge ernst (local file inclusion, 2023).
- De begeleidende plugin Ocean Extra telt er in dezelfde periode 20, waaronder het uitvoeren van shortcodes zonder account in april 2025.
- Geen van deze kwetsbaarheden is als misbruikt gedocumenteerd; wanneer de data bekend zijn, verscheen de patch vóór of op de dag van de aankondiging.
- Minimale versies: OceanWP 4.1.2 en Ocean Extra 2.5.4; beperk het aantal accounts met de rol Abonnee, Bijdrager en Redacteur.
Bronnen
- WordPress.org: thema OceanWP, themapagina en actieve installaties (externe link, opent in een nieuw tabblad)
- OceanWP: OceanWP Theme Changelog (wijzigingslogboek van het thema) (externe link, opent in een nieuw tabblad)
- CVE.org: CVE-2024-2476, OceanWP 3.5.4 en eerder (29 maart 2024) (externe link, opent in een nieuw tabblad)
- CVE.org: CVE-2025-5524, OceanWP 4.0.9 en eerder (19 juni 2025) (externe link, opent in een nieuw tabblad)
Andere geraadpleegde bronnen: andere CVE-registraties, officiële pagina's van de leveranciers, publicaties van beveiligingsonderzoekers, databases van WPScan en Patchstack.
Update van 28 oktober 2026: op 14 oktober 2026 maakte Wordfence CVE-2026-86803 openbaar in de plugin Ocean Extra tot en met 2.6.0: een bezoeker zonder account kon shortcodes laten uitvoeren. De patch 2.6.1 was al sinds 10 september beschikbaar. Alle details: Lek in Ocean Extra zonder account: patch 2.6.1 kwam vóór de melding.
