CVE-2020-36726
KrytyczneStreszczenie
Wtyczka Ultimate Reviews dla WordPressa jest podatna na wstrzykiwanie obiektów PHP w wersjach do 2.1.32 włącznie, poprzez deserializację nieufnych danych wejściowych w kilku podatnych funkcjach. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektu PHP.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad aplikacją, co może prowadzić do poważnych naruszeń bezpieczeństwa. Brak łańcucha POP w podatnej wtyczce nie zmniejsza ryzyka.
Rekomendacja
Zaleca się aktualizację wtyczki Ultimate Reviews do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować aplikację pod kątem nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Reviews plugin for WordPress is vulnerable to PHP Object Injection in versions up to, and including, 2.1.32 via deserialization of untrusted input in several vulnerable functions. This allows unauthenticated attackers to inject a PHP Object. No POP chain is present in the vulnerable plugin.