{
    "title": "OceanWP-thema: geschiedenis van de kwetsbaarheden en patches",
    "seo_title": "Lekken in OceanWP en Ocean Extra: de tijdlijn",
    "h1": "OceanWP-thema: geschiedenis van de kwetsbaarheden en patches",
    "description": "De 6 kwetsbaarheden in het thema OceanWP en de 20 in de plugin Ocean Extra sinds 2020: getroffen versies, patches, termijnen en bescherming.",
    "lead": "Zes kwetsbaarheden in het thema OceanWP sinds 2020, twintig in de begeleidende plugin Ocean Extra: tijdlijn, opvallende kwetsbaarheden, gepatchte versies en bescherming.",
    "language": "nl",
    "locale": "nl-NL",
    "type": "article",
    "url": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/",
    "canonical": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/",
    "markdown": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/index.md",
    "json": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/index.json",
    "published": "2026-06-16T07:00:00+00:00",
    "modified": "2026-10-29T07:36:39+00:00",
    "site": {
        "name": "WP Masquerade",
        "url": "https://www.wp-masquerade.com/nl/"
    },
    "translations": [
        {
            "language": "nl",
            "hreflang": "nl-NL",
            "title": "OceanWP-thema: geschiedenis van de kwetsbaarheden en patches",
            "url": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/",
            "markdown": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/index.md",
            "json": "https://www.wp-masquerade.com/nl/oceanwp-thema-kwetsbaarheden-beveiliging/index.json"
        },
        {
            "language": "fr",
            "hreflang": "fr-FR",
            "title": "Thème OceanWP : historique des failles et correctifs",
            "url": "https://www.wp-masquerade.com/fr/failles-securite-theme-oceanwp/",
            "markdown": "https://www.wp-masquerade.com/fr/failles-securite-theme-oceanwp/index.md",
            "json": "https://www.wp-masquerade.com/fr/failles-securite-theme-oceanwp/index.json"
        },
        {
            "language": "en",
            "hreflang": "en-US",
            "title": "OceanWP theme: vulnerability history and patches",
            "url": "https://www.wp-masquerade.com/oceanwp-theme-security-vulnerabilities/",
            "markdown": "https://www.wp-masquerade.com/oceanwp-theme-security-vulnerabilities/index.md",
            "json": "https://www.wp-masquerade.com/oceanwp-theme-security-vulnerabilities/index.json"
        },
        {
            "language": "es",
            "hreflang": "es-ES",
            "title": "Tema OceanWP: historial de fallos de seguridad y parches",
            "url": "https://www.wp-masquerade.com/es/vulnerabilidades-tema-oceanwp/",
            "markdown": "https://www.wp-masquerade.com/es/vulnerabilidades-tema-oceanwp/index.md",
            "json": "https://www.wp-masquerade.com/es/vulnerabilidades-tema-oceanwp/index.json"
        },
        {
            "language": "de",
            "hreflang": "de-DE",
            "title": "Theme OceanWP: Geschichte der Lücken und Patches",
            "url": "https://www.wp-masquerade.com/de/oceanwp-theme-sicherheitsluecken/",
            "markdown": "https://www.wp-masquerade.com/de/oceanwp-theme-sicherheitsluecken/index.md",
            "json": "https://www.wp-masquerade.com/de/oceanwp-theme-sicherheitsluecken/index.json"
        },
        {
            "language": "it",
            "hreflang": "it-IT",
            "title": "Tema OceanWP: storia delle vulnerabilità e delle correzioni",
            "url": "https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-tema-oceanwp/",
            "markdown": "https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-tema-oceanwp/index.md",
            "json": "https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-tema-oceanwp/index.json"
        },
        {
            "language": "pt",
            "hreflang": "pt-BR",
            "title": "Tema OceanWP: histórico das falhas e correções",
            "url": "https://www.wp-masquerade.com/pt/vulnerabilidades-seguranca-tema-oceanwp/",
            "markdown": "https://www.wp-masquerade.com/pt/vulnerabilidades-seguranca-tema-oceanwp/index.md",
            "json": "https://www.wp-masquerade.com/pt/vulnerabilidades-seguranca-tema-oceanwp/index.json"
        }
    ],
    "headings": [
        {
            "level": 1,
            "text": "OceanWP-thema: geschiedenis van de kwetsbaarheden en patches"
        },
        {
            "level": 2,
            "text": "OceanWP in het kort"
        },
        {
            "level": 2,
            "text": "Tijdlijn van de kwetsbaarheden van 2020 tot juni 2026"
        },
        {
            "level": 3,
            "text": "Het thema OceanWP: zes kwetsbaarheden"
        },
        {
            "level": 3,
            "text": "Ocean Extra, de begeleidende plugin: twintig kwetsbaarheden"
        },
        {
            "level": 2,
            "text": "De opvallende kwetsbaarheden uitgelegd"
        },
        {
            "level": 3,
            "text": "2023 en 2024: het themapaneel open voor abonnees"
        },
        {
            "level": 3,
            "text": "2025: vier gemiddelde kwetsbaarheden in twee maanden"
        },
        {
            "level": 3,
            "text": "Ocean Extra, april 2025: shortcodes uitgevoerd zonder account"
        },
        {
            "level": 3,
            "text": "Ocean Extra: de andere soorten kwetsbaarheden"
        },
        {
            "level": 3,
            "text": "De andere officiële Ocean-plugins"
        },
        {
            "level": 2,
            "text": "Wat deze geschiedenis laat zien"
        },
        {
            "level": 2,
            "text": "Jezelf beschermen"
        },
        {
            "level": 3,
            "text": "Om te onthouden"
        },
        {
            "level": 2,
            "text": "Bronnen"
        },
        {
            "level": 2,
            "text": "WordPress-beveiliging, zonder ruis",
            "id": "wpm-nl-box-title"
        }
    ],
    "body": "Zes kwetsbaarheden gepubliceerd voor het thema OceanWP sinds 2020, waarvan maar één met een hoge ernst, en twintig voor Ocean Extra, de plugin die het thema op de meeste sites vergezelt. Dit dossier houdt de twee duidelijk uit elkaar, legt uit waarom de begeleidende plugin zwaarder doorweegt in de balans dan het thema, en geeft de minimale versies waarop je op 13 juni 2026 moet mikken.\n\n## OceanWP in het kort\n\nOceanWP is een gratis thema dat in juni 2017 op wordpress.org werd gepubliceerd door het bedrijf OceanWP LLC. Het is veelzijdig, werkt met Elementor, Gutenberg en WooCommerce en telt meer dan 400.000 actieve installaties (wordpress.org). Het verdienmodel draait om plugins: een gratis plugin, Ocean Extra, eveneens op meer dan 400.000 sites geïnstalleerd, en een reeks officiële plugins, gratis of betaald (sociaal delen, modale vensters, producten delen, premium pluginpakket).\n\nDie opsplitsing is belangrijk. Een thema is vooral een verzameling templates die inhoud weergeven; de functies die gegevens ontvangen, zitten eerder in de begeleidende plugin. Ocean Extra, dat volgens de pluginpagina \"alleen werkt met het thema OceanWP\", voegt header- en footertemplates toe, instellingen per pagina, het importeren van demo's, widgets, megamenu's, shortcodes (kruimelpad, ingelogde gebruiker, WooCommerce-winkelwagen) en het importeren van Customizer-instellingen. Elke shortcode en elke widget is een extra invoer die gefilterd moet worden.\n\nDoor die populariteit is OceanWP een homogeen doelwit: dezelfde kwetsbaarheid komt identiek voor op honderdduizenden sites, zolang ze niet zijn bijgewerkt.\n\n## Tijdlijn van de kwetsbaarheden van 2020 tot juni 2026\n\n![Tijdlijn: 10 oktober 2022, PHP-objectinjectie in Ocean Extra gepatcht in 2.0.5; 14 februari 2023, privé-inhoud leesbaar voor een abonnee in Ocean Extra, gepatcht in 2.1.3; 27 februari 2023, local file inclusion in het thema, hoge ernst, gepatcht in 3.4.2; 28 november 2023, activeren van plugins via CSRF in Ocean Extra, gepatcht in 2.2.3; 28 maart 2024, gevoelige gegevens uit het themapaneel blootgesteld aan een abonnee, gepatcht in 3.5.5; 21 april 2025, uitvoeren van shortcodes zonder account in Ocean Extra met WooCommerce, gepatcht in 2.4.7; 18 juni, 2 juli, 12 en 15 augustus 2025, vier kwetsbaarheden met gemiddelde ernst in het thema, gepatcht in 4.1.0, 3.6.1 en 4.1.2; 28 november 2025, code-uitvoering door een redacteur in Ocean Modal Window, gepatcht in 2.3.3; 7 april 2026, gebrekkige toegangscontrole in Ocean Extra, gepatcht in 2.5.4.](https://www.wp-masquerade.com/media/2026/10/chronologie-failles-oceanwp-nl.webp)\n\n*De data zijn die van de publicatie van elke kwetsbaarheid. Het voorvoegsel geeft het getroffen product aan: thema, Ocean Extra of een andere officiële plugin.*\n\n### Het thema OceanWP: zes kwetsbaarheden\n\nDe tabel bevat de kwetsbaarheden in het thema die van 1 januari 2020 tot 13 juni 2026 zijn gepubliceerd volgens Patchstack (WPScan vermeldt er vijf, zonder die van 2023), vergeleken met de CVE-vermeldingen. De [CVSS-score](https://www.wp-masquerade.com/nl/woordenlijst/cvss-score/) is die van de instantie die de [CVE](https://www.wp-masquerade.com/nl/woordenlijst/cve/) toekende. Geen enkele is als misbruikt gedocumenteerd.\n\n| Publicatie | Gepatcht in | Type | CVSS | CVE | Account vereist |\n| --- | --- | --- | --- | --- | --- |\n| 27 februari 2023 | 3.4.2 | Local file inclusion (themapaneel) | 7,6 (Patchstack) | CVE-2023-23700 | Abonnee |\n| 28 maart 2024 | 3.5.5 | Ontbrekende autorisatie, blootstelling van gevoelige gegevens | 4,3 | CVE-2024-2476 | Abonnee |\n| 18 juni 2025 | 4.1.0 | Stored XSS (HTML-tag Select) | 4,9 | CVE-2025-5524 | Bijdrager |\n| 2 juli 2025 | 3.6.1 | Stored XSS via de bibliotheek Magnific Popup | 6,4 | CVE-2024-5647 | Bijdrager |\n| 12 augustus 2025 | 4.1.2 (getroffen: 4.0.9 tot 4.1.1) | CSRF die leidt tot de installatie van Ocean Extra | 4,3 | CVE-2025-8891 | Geen (beheerder in de val gelokt) |\n| 15 augustus 2025 | 4.1.2 | Ontbrekende autorisatie (optie voor de donkere modus) | 4,3 (WPScan) | CVE-2025-8944 | Abonnee |\n\n*Thema OceanWP: 6 kwetsbaarheden gepubliceerd tussen 2020 en 13 juni 2026 (bronnen: Patchstack, WPScan, CVE-vermeldingen; score van Wordfence tenzij anders vermeld).*\n\n### Ocean Extra, de begeleidende plugin: twintig kwetsbaarheden\n\nOcean Extra wordt apart bijgewerkt, via Plugins. WPScan schrijft er 20 kwetsbaarheden aan toe die van 1 januari 2020 tot 13 juni 2026 zijn gepubliceerd (Patchstack telt er 21, omdat het een probleem uit 2022 in tweeën splitst). Drie komen uit de Freemius SDK, een licentiebibliotheek die in honderden plugins is ingebouwd: ze zijn gemarkeerd met \"SDK\".\n\n| Publicatie | Gepatcht in | Type | CVSS | CVE | Account vereist |\n| --- | --- | --- | --- | --- | --- |\n| 16 september 2020 | 1.6.6 | CSRF | 4,3 | CVE-2020-36760 | Geen (beheerder in de val gelokt) |\n| 28 februari 2022 | 1.9.4 | SDK: ontbrekende autorisatie | 6,3 | CVE-2022-4974 | Ingelogd |\n| 24 mei 2022 | 1.9.5 | Reflected XSS | 6,1 (WPScan) | CVE-2021-25104 | Geen (klik op een link) |\n| 10 oktober 2022 | 2.0.5 | PHP-objectinjectie (importeren van stijlen) | 5,5 (WPScan) | CVE-2022-3374 | Beheerder |\n| 2 februari 2023 | 2.1.2 | Stored XSS (shortcode kruimelpad) | 5,5 (Patchstack) | CVE-2023-23891 | Bijdrager |\n| 14 februari 2023 | 2.1.3 | Stored XSS (zoek-shortcode) | 5,5 (Patchstack) | CVE-2023-24399 | Bijdrager |\n| 14 februari 2023 | 2.1.3 | Lezen van privé-inhoud | 6,5 | CVE-2023-0749 | Abonnee |\n| 18 juli 2023 | 2.1.8 | SDK: reflected XSS | 6,1 (WPScan) | geen | Geen (klik op een link) |\n| 28 november 2023 | 2.2.3 | CSRF die leidt tot het activeren van plugins | 5,4 (Patchstack) | CVE-2023-49164 | Geen (beheerder in de val gelokt) |\n| 16 februari 2024 | 2.2.5 | Stored XSS (aangepaste velden) | 6,4 | CVE-2024-1277 | Bijdrager |\n| 8 april 2024 | 2.2.7 | Stored XSS (deelwidget) | 6,4 | CVE-2024-3167 | Bijdrager |\n| 10 juni 2024 | 2.2.9 | Stored XSS (Flickr-widget) | 6,4 | CVE-2024-5531 | Bijdrager |\n| 4 juli 2024 | 2.3.0 | Stored XSS | 6,5 (Patchstack) | CVE-2024-37489 | Bijdrager |\n| 21 april 2025 | 2.4.7 | Uitvoeren van willekeurige shortcodes | 6,5 (9,8 volgens de NVD) | CVE-2025-3472 | Geen |\n| 21 april 2025 | 2.4.7 | Stored XSS (ocean_gallery_id) | 6,4 | CVE-2025-3458 | Bijdrager |\n| 21 april 2025 | 2.4.7 | Stored XSS (shortcode oceanwp_icon) | 6,4 | CVE-2025-3457 | Bijdrager |\n| 2 juni 2025 | 2.4.9 | Stored XSS | 6,5 (Patchstack) | CVE-2025-49068 | Bijdrager |\n| 29 augustus 2025 | 2.5.0 | Stored XSS (shortcode oceanwp_library) | 6,4 | CVE-2025-9499 | Bijdrager |\n| 7 april 2026 | 2.5.4 | Gebrekkige toegangscontrole | 5,4 (Patchstack) | CVE-2026-34903 | Abonnee |\n| 30 april 2026 | 2.4.4 | SDK: DOM-gebaseerde reflected XSS | 6,1 | CVE-2024-13362 | Geen (klik op een link) |\n\n*Plugin Ocean Extra: 20 kwetsbaarheden gepubliceerd tussen 2020 en 13 juni 2026 (bronnen: WPScan, Patchstack, CVE-vermeldingen; score van Wordfence tenzij anders vermeld).*\n\n## De opvallende kwetsbaarheden uitgelegd\n\n### 2023 en 2024: het themapaneel open voor abonnees\n\nDe twee ernstigste kwetsbaarheden in het thema betreffen het beheerpaneel van OceanWP, dat via AJAX-verzoeken wordt geladen. In februari 2023 toonde Rafie Muhammad (Patchstack) aan dat een gewone abonnee de site lokale bestanden van de server kon laten insluiten (CVE-2023-23700, CVSS 7,6, de enige hoge kwetsbaarheid van het thema), waardoor gevoelige bestanden kunnen uitlekken. Ze werd op 15 februari gemeld, op 22 februari gepatcht in 3.4.2 en op 27 februari gepubliceerd.\n\nEen jaar later stelde Craig Smith vast dat de functie `load_theme_panel_pane` de rechten niet controleerde: een abonnee kon systeeminformatie of API-sleutels lezen die in de instellingen waren opgeslagen (CVE-2024-2476, CVSS 4,3). Melding door Wordfence op 18 maart 2024, versie 3.5.5 op 27 maart, publicatie op 28 maart.\n\n### 2025: vier gemiddelde kwetsbaarheden in twee maanden\n\nDe zomer van 2025 bevat de rest van de geschiedenis van het thema. CVE-2025-5524 is een stored [XSS](https://www.wp-masquerade.com/nl/woordenlijst/cross-site-scripting/): een bijdrager kon JavaScript binnensmokkelen via het script voor keuzelijsten, dat daarna bij elke bezoeker werd uitgevoerd (zie ons artikel over XSS-kwetsbaarheden). De kwetsbaarheid werd gemeld door Asaf Mozes, op 17 juni gepatcht in 4.1.0 en de dag erna gepubliceerd.\n\nCVE-2024-5647 komt van elders: uit Magnific Popup 1.1.0, een JavaScript-bibliotheek die in veel thema's en plugins is ingebouwd. Wordfence waarschuwde de uitgevers al in juni 2024 en publiceerde de gezamenlijke vermelding pas op 2 juli 2025; OceanWP had de bibliotheek al op 8 oktober 2024 bijgewerkt in 3.6.1.\n\nIn augustus patchte versie 4.1.2 (11 augustus 2025) twee kwetsbaarheden. Dmitrii Ignatyev (CleanTalk) meldde op 6 augustus dat de AJAX-actie `oceanwp_notice_button_click`, gekoppeld aan de melding die voorstelt Ocean Extra te installeren, geen anti-CSRF-token controleerde: volgens de vermelding CVE-2025-8891 kan een ingelogde beheerder die op een valstriklink klikt, ongemerkt Ocean Extra laten installeren. En CVE-2025-8944 (WPScan, Hamit Cibo) liet een abonnee de instelling van de donkere modus wijzigen.\n\n### Ocean Extra, april 2025: shortcodes uitgevoerd zonder account\n\nDe opvallendste kwetsbaarheid van het ecosysteem is CVE-2025-3472. Tot en met versie 2.4.6 gaf een actie van Ocean Extra een ontvangen waarde zonder validatie door aan de functie `do_shortcode`: op een site met actieve WooCommerce kon een niet-ingelogde bezoeker een shortcode naar keuze laten uitvoeren. De ernst hangt af van de shortcodes die op de site aanwezig zijn. Wordfence, als CVE-instantie, gaf haar 6,5; de NVD-database van het NIST kent haar 9,8 toe. Ze werd gemeld door Matthew Rollings en maakte deel uit van drie meldingen van Wordfence van 11 april 2025, allemaal gepatcht in 2.4.7 op 21 april, de dag van publicatie.\n\n### Ocean Extra: de andere soorten kwetsbaarheden\n\n- **Stored XSS**: tien van de twintig kwetsbaarheden. Een bijdrager voegt code in een attribuut van een shortcode of widget in (kruimelpad, pictogram, galerij, Flickr, templatebibliotheek), en die code wordt uitgevoerd bij elke bezoeker, ook bij de beheerder.\n- **Lezen van privé-inhoud** (CVE-2023-0749): de template-shortcode controleerde niet of de opgevraagde ID wel een template was. Een abonnee kon elke inhoud weergeven, ook concepten, privé-inhoud of met een wachtwoord beveiligde inhoud. Gemeld door Erwan LR (WPScan), gepatcht in 2.1.3 op 13 februari 2023.\n- **CSRF**: in 2023 toonde Dave Jong (Patchstack) aan dat een valstriklink een ingelogde beheerder elke geïnstalleerde plugin kon laten activeren (CVE-2023-49164), gepatcht in 2.2.3 de dag vóór de publicatie.\n- **PHP-objectinjectie** (CVE-2022-3374): het importeren van een bestand met Customizer-instellingen deserialiseerde de inhoud ervan. Een beheerder moest wel een gemanipuleerd bestand importeren: het mechanisme wordt uitgelegd in [ons artikel over PHP-objectinjectie](https://www.wp-masquerade.com/nl/php-deserialisatie-objectinjectie/).\n- **Toegangscontrole** (CVE-2026-34903): op 27 januari 2026 via Patchstack gemeld door Nguyen Ba Khanh, gepatcht in versie 2.5.4 van 9 maart en gepubliceerd op 7 april 2026. Patchstack geeft haar een lage prioriteit.\n\n![Staafdiagram van de gepubliceerde kwetsbaarheden per jaar voor Ocean Extra, volgens WPScan: 1 in 2020, 0 in 2021, 3 in 2022, 5 in 2023, 4 in 2024, 5 in 2025 en 2 in 2026 tot 13 juni, samen 20 kwetsbaarheden, allemaal met gemiddelde ernst behalve één hoge in 2026.](https://www.wp-masquerade.com/media/2026/10/failles-par-annee-ocean-extra-nl.webp)\n\n*Database van WPScan, van 1 januari 2020 tot 13 juni 2026, met de score die WPScan toont. Het thema is niet meegeteld.*\n\n### De andere officiële Ocean-plugins\n\nNog een officiële plugin verdient vermelding. In Ocean Modal Window (meer dan 10.000 actieve installaties) werden de weergavevoorwaarden van een modaal venster, die een redacteur kan instellen, doorgegeven aan de PHP-functie `eval`: een redacteursaccount was genoeg om code op de server uit te voeren (CVE-2025-13307, CVSS 7,2 volgens WPScan, onderzoeker Alex Tselevich). Patch in 2.3.3 op 26 november 2025, publicatie op 28 november. Ocean Social Sharing (meer dan 60.000 installaties) had een stored XSS door een bijdrager (CVE-2025-7500, CVSS 6,4), gepatcht in 2.2.2 op 22 juli 2025.\n\n## Wat deze geschiedenis laat zien\n\n- **Het thema is weinig getroffen, de plugin meer**: zes kwetsbaarheden tegenover twintig in dezelfde periode. OceanWP beoordelen op het thema alleen zou te gunstig zijn: op een echte site worden de twee samen geïnstalleerd.\n- **Abonnees zijn een reëel risico**: drie kwetsbaarheden in het thema en twee in Ocean Extra zijn uitbuitbaar met een gewoon abonneeaccount. Op een WooCommerce-site is elke klant die een account aanmaakt er een.\n- **Snelle patches**: wanneer de data bekend zijn, patchte de uitgever meestal binnen twee weken na ontvangst van de melding, en altijd vóór of op de dag van de openbare aankondiging. Het wijzigingslogboek vermeldt telkens de melding (Wordfence, Patchstack, WPScan, CleanTalk) en de datum ervan.\n- **Andermans code telt ook mee**: drie kwetsbaarheden in Ocean Extra komen uit de Freemius SDK en één in het thema uit de bibliotheek Magnific Popup. Door het thema en de plugin bij te werken, worden ook deze ingebouwde componenten bijgewerkt.\n\nDit profiel is niets bijzonders: [de tijdlijn van de beveiligingsversies van de WordPress-core](https://www.wp-masquerade.com/nl/tijdlijn-kwetsbaarheden-wordpress-core/) laat zien dat geen enkele software aan patches ontsnapt. Het verschil zit in de tijd tussen het verschijnen van een patch en de installatie ervan.\n\n## Jezelf beschermen\n\n- **Werk het thema en de plugin apart bij**: mik op 13 juni 2026 op minstens OceanWP 4.1.2 en Ocean Extra 2.5.4. Het thema werk je bij via Weergave, Ocean Extra via Plugins.\n- **Schakel automatische updates in** voor het thema en Ocean Extra; onze gids over automatische updates legt uit hoe je het risico op problemen beperkt.\n- **Verwijder ongebruikte Ocean-plugins** (zie verlaten en overbodige plugins). Ben je overgestapt van OceanWP, verwijder dan ook Ocean Extra: de plugin werkt alleen met dit thema.\n- **Beperk het aantal accounts**: sluit de openbare registratie als je die niet gebruikt en geef de rollen Bijdrager en Redacteur alleen aan wie ze nodig heeft (rollen en minimale rechten). In een webwinkel zijn klantaccounts onvermijdelijk (zie een WooCommerce-winkel beveiligen).\n- **Voeg een applicatiefirewall toe** om de periode tussen de aankondiging van een kwetsbaarheid en jouw update te overbruggen (onze vergelijking van WordPress-firewalls).\n- **Volg de aankondigingen** voor het thema en voor elke Ocean-plugin, zoals beschreven in onze methode om kwetsbaarheden te bewaken.\n\nWP Masquerade Pro helpt bij dat laatste punt. Het vergelijkt elke dag de geïnstalleerde versies van je plugins en thema's met de openbare database WPVulnerability.net en stuurt je een [kwetsbaarheidsmelding](https://www.wp-masquerade.com/nl/functies/kwetsbare-plugins/) per [e-mail](https://www.wp-masquerade.com/nl/functies/e-mailwaarschuwingen/), met de ernst en de gepatchte versie. In de klantenzone bundelt [de bewaking van je sites](https://www.wp-masquerade.com/nl/functies/#surveillance) de openstaande updates en de kwetsbare sites. WP Masquerade waarschuwt: het patcht het thema en de plugin niet en is geen firewall, bijwerken blijft de beslissende stap. Om een firewall te kiezen, bekijk je onze [vergelijking van de beste WordPress-beveiligingsplugins](https://www.wp-masquerade.com/nl/beste-wordpress-beveiligingsplugins/).\n\n### Om te onthouden\n\n- Het thema OceanWP telt 6 gepubliceerde kwetsbaarheden van 2020 tot 13 juni 2026, waarvan maar één met een hoge ernst (local file inclusion, 2023).\n- De begeleidende plugin Ocean Extra telt er in dezelfde periode 20, waaronder het uitvoeren van shortcodes zonder account in april 2025.\n- Geen van deze kwetsbaarheden is als misbruikt gedocumenteerd; wanneer de data bekend zijn, verscheen de patch vóór of op de dag van de aankondiging.\n- Minimale versies: OceanWP 4.1.2 en Ocean Extra 2.5.4; beperk het aantal accounts met de rol Abonnee, Bijdrager en Redacteur.\n\n## Bronnen\n\n- WordPress.org: thema OceanWP, themapagina en actieve installaties (https://wordpress.org/themes/oceanwp/)\n- OceanWP: OceanWP Theme Changelog (wijzigingslogboek van het thema) (https://docs.oceanwp.org/article/653-oceanwp-theme-changelog)\n- CVE.org: CVE-2024-2476, OceanWP 3.5.4 en eerder (29 maart 2024) (https://www.cve.org/CVERecord?id=CVE-2024-2476)\n- CVE.org: CVE-2025-5524, OceanWP 4.0.9 en eerder (19 juni 2025) (https://www.cve.org/CVERecord?id=CVE-2025-5524)\n\nAndere geraadpleegde bronnen: andere CVE-registraties, officiële pagina's van de leveranciers, publicaties van beveiligingsonderzoekers, databases van WPScan en Patchstack.\n\n**Update van 28 oktober 2026:** op 14 oktober 2026 maakte Wordfence CVE-2026-86803 openbaar in de plugin Ocean Extra tot en met 2.6.0: een bezoeker zonder account kon shortcodes laten uitvoeren. De patch 2.6.1 was al sinds 10 september beschikbaar. Alle details: [Lek in Ocean Extra zonder account: patch 2.6.1 kwam vóór de melding](https://www.wp-masquerade.com/nl/kwetsbaarheid-ocean-extra-cve-2026-86803/).\n\n## WordPress-beveiliging, zonder ruis\n\nEén e-mail wanneer het ertoe doet: nieuw waargenomen aanvallen, updates van de plugin en praktische gidsen. Geen spam, afmelden met één klik.",
    "categories": [
        "Kwetsbare thema's"
    ],
    "format": "application/json"
}