CVE-2022-2437
CriticalSummary
Wtyczka Feed Them Social – dla Twittera, YouTube i innych, w wersjach do 2.9.8.5 włącznie, jest podatna na deserializację niezaufanego wejścia poprzez parametr 'fts_url'. Umożliwia to nieautoryzowanym atakującym wywoływanie plików za pomocą wrappera PHAR, co może prowadzić do wykonania złośliwych działań.
Risk Assessment
Podatność ta stwarza ryzyko dla organizacji, ponieważ atakujący może wykorzystać ją do wykonania dowolnych obiektów PHP, co może prowadzić do poważnych naruszeń bezpieczeństwa. Wymaga to jednak, aby atakujący był w stanie przesłać plik z zserializowanym ładunkiem.
Recommendation
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy monitorować i ograniczać możliwość przesyłania plików przez użytkowników, aby zminimalizować ryzyko wykorzystania tej luki.
Original NVD description (English source)
The Feed Them Social – for Twitter feed, Youtube and more plugin for WordPress is vulnerable to deserialization of untrusted input via the 'fts_url' parameter in versions up to, and including 2.9.8.5. This makes it possible for unauthenticated attackers to call files using a PHAR wrapper that will deserialize the data and call arbitrary PHP Objects that can be used to perform a variety of malicious actions granted a POP chain is also present. It also requires that the attacker is successful in uploading a file with the serialized payload.