CVE-2024-52433

My Geo Posts Free <= 1.2 - Injection d'objets PHP non authentifiée

Description

Le plugin My Geo Posts Free pour WordPress est vulnérable à l'injection d'objets PHP dans les versions jusqu'à la 1.2 incluse via la désérialisation d'entrées non fiables. Cela permet à des attaquants non authentifiés d'injecter un objet PHP. Aucune chaîne POP connue n'est présente dans le logiciel vulnérable. Si une chaîne POP est présente via un plugin ou un thème supplémentaire installé sur le système cible, cela pourrait permettre à l'attaquant de supprimer des fichiers arbitraires, de récupérer des données sensibles ou d'exécuter du code.

Lien de téléchargement : Télécharger my-geo-posts-free Version 1.2

Type: plugin
CVSS Score: 9.8
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE: CVE-2024-52433
Slug: my-geo-posts-free

POC

GET / HTTP/2
Host: wp-dev.ddev.site
Cookie: mgpf_geo_coockie=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=