CVE-2020-36726
CriticalSummary
Wtyczka Ultimate Reviews dla WordPressa jest podatna na wstrzykiwanie obiektów PHP w wersjach do 2.1.32 włącznie, poprzez deserializację nieufnych danych wejściowych w kilku podatnych funkcjach. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektu PHP.
Risk Assessment
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad aplikacją, co może prowadzić do poważnych naruszeń bezpieczeństwa. Brak łańcucha POP w podatnej wtyczce nie zmniejsza ryzyka.
Recommendation
Zaleca się aktualizację wtyczki Ultimate Reviews do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować aplikację pod kątem nieautoryzowanych działań.
Original NVD description (English source)
The Ultimate Reviews plugin for WordPress is vulnerable to PHP Object Injection in versions up to, and including, 2.1.32 via deserialization of untrusted input in several vulnerable functions. This allows unauthenticated attackers to inject a PHP Object. No POP chain is present in the vulnerable plugin.