CVE-2024-4413
KrytyczneStreszczenie
Wtyczka Hotel Booking Lite dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 4.11.1 poprzez deserializację nieufnych danych wejściowych. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.
Ocena ryzyka
Brak znanego łańcucha POP w podatnej wtyczce, jednak jeśli taki łańcuch występuje w dodatkowej wtyczce lub motywie zainstalowanym na docelowym systemie, może to pozwolić atakującemu na usunięcie dowolnych plików, pozyskanie wrażliwych danych lub wykonanie kodu.
Rekomendacja
Zaleca się aktualizację wtyczki Hotel Booking Lite do najnowszej wersji, aby usunąć tę podatność oraz przegląd zainstalowanych wtyczek i motywów w celu identyfikacji potencjalnych zagrożeń.
Oryginalny opis (angielski, źródło NVD)
The Hotel Booking Lite plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 4.11.1 via deserialization of untrusted input. This makes it possible for unauthenticated attackers to inject a PHP Object. No known POP chain is present in the vulnerable plugin. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.