CVE-2024-36679
KrytyczneStreszczenie
W module 'Module Live Chat Pro (All in One Messaging)' w wersji <=8.4.0, gość może przeprowadzić wstrzyknięcie kodu PHP. Z powodu przewidywalnego tokena, metoda `Lcp::saveTranslations()` jest podatna na atak, który pozwala na wstrzyknięcie kodu PHP do pliku PHP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację modułu do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczające, takie jak walidacja tokenów.
Oryginalny opis (angielski, źródło NVD)
In the module "Module Live Chat Pro (All in One Messaging)" (livechatpro) <=8.4.0, a guest can perform PHP Code injection. Due to a predictable token, the method `Lcp::saveTranslations()` suffer of a white writer that can inject PHP code into a PHP file.