CVE-2024-12877

GiveWP – Donation Plugin and Fundraising Platform <= 3.19.2 - Injection d'objet PHP non authentifiée

Description

Le plugin GiveWP – Donation Plugin and Fundraising Platform pour WordPress est vulnérable à une injection d'objet PHP dans toutes les versions jusqu'à la 3.19.2 incluse, via la désérialisation d'une entrée non fiable provenant du formulaire de don, comme 'firstName'. Cela permet à des attaquants non authentifiés d'injecter un objet PHP. La présence supplémentaire d'une chaîne POP permet aux attaquants de supprimer des fichiers arbitraires sur le serveur, ce qui rend possible l'exécution de code à distance. Veuillez noter que cela n'a été que partiellement corrigé dans la version 3.19.3 ; un correctif pleinement suffisant n'a été publié qu'avec la version 3.19.4. Cependant, un autre CVE a été attribué par un autre CNA pour la version 3.19.3, nous considérons donc que cela affecte la version 3.19.2 et les versions antérieures. Nous avons recommandé à l'éditeur d'utiliser l'encodage JSON pour empêcher que d'autres vulnérabilités de désérialisation ne soient présentes.

Détails

• Type: plugin
• Slug: give
• Version affectée: 3.19.2
• Score CVSS: 9.8
• Sévérité CVSS: Critique
• Vecteur CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVE: CVE-2024-12877
• Statut: Actif

POC

POST /?givewp-route=donate&givewp-route-signature=[SIGNATURE]&givewp-route-signature-id=givewp-donate&givewp-route-signature-expiration=[EXPIRY] HTTP/1.1
Host: kubernetes.docker.internal:8929
Content-Type: application/x-www-form-urlencoded
Content-Length: 163

amount=10&currency=USD&gatewayId=manual&formId=90&company=O:20:"PHP_Object_Injection":0:{}&firstName=O:20:"PHP_Object_Injection":0:{}&[email protected]&donationType=single&donationBirthday=