CVE-2024-36679
CriticalSummary
W module 'Module Live Chat Pro (All in One Messaging)' w wersji <=8.4.0, gość może przeprowadzić wstrzyknięcie kodu PHP. Z powodu przewidywalnego tokena, metoda `Lcp::saveTranslations()` jest podatna na atak, który pozwala na wstrzyknięcie kodu PHP do pliku PHP.
Risk Assessment
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych użytkowników.
Recommendation
Zaleca się aktualizację modułu do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczające, takie jak walidacja tokenów.
Original NVD description (English source)
In the module "Module Live Chat Pro (All in One Messaging)" (livechatpro) <=8.4.0, a guest can perform PHP Code injection. Due to a predictable token, the method `Lcp::saveTranslations()` suffer of a white writer that can inject PHP code into a PHP file.