CVE-2024-3070
KrytyczneStreszczenie
Wtyczka Last Viewed Posts autorstwa WPBeginner dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.0.0, poprzez deserializację nieufnych danych wejściowych z ciasteczka LastViewedPosts. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.
Ocena ryzyka
Brak znanego łańcucha POP w podatnej wtyczce, jednak jeśli taki łańcuch występuje w dodatkowej wtyczce lub motywie zainstalowanym w systemie docelowym, może to pozwolić atakującemu na usunięcie dowolnych plików, uzyskanie dostępu do wrażliwych danych lub wykonanie kodu.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz monitorowanie zainstalowanych wtyczek i motywów w celu identyfikacji potencjalnych łańcuchów POP.
Oryginalny opis (angielski, źródło NVD)
The Last Viewed Posts by WPBeginner plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.0.0 via deserialization of untrusted input from the LastViewedPosts Cookie. This makes it possible for unauthenticated attackers to inject a PHP Object. No known POP chain is present in the vulnerable plugin. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.