CVE-2024-5932
GiveWP – दान प्लगइन और फंडरेज़िंग प्लेटफ़ॉर्म <= 3.14.1 - अप्रमाणित PHP ऑब्जेक्ट इंजेक्शन से रिमोट कोड एक्सेक्यूशन
- प्रकाशित
- 20 अग॰ 2024
- अद्यतन
- 8 अप्रैल 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 6 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.5%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए GiveWP – Donation Plugin and Fundraising Platform प्लगइन, 'give_title' पैरामीटर से अविश्वसनीय इनपुट के deserialization के माध्यम से, 3.14.1 तक (और सहित) सभी संस्करणों में PHP Object Injection की चपेट में है। यह बिना प्रमाणीकरण वाले हमलावरों के लिए PHP Object इंजेक्ट करना संभव बनाता है। POP चेन की अतिरिक्त उपस्थिति हमलावरों को दूरस्थ रूप से कोड निष्पादित करने और मनमानी फ़ाइलों को हटाने की अनुमति देती है।
स्रोत
modules/exploits/multi/http/wp_givewp_rce.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Unix,Windows($.exploit_multi/http/wp_givewp_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_givewp_rce.check)
- GiveWP - PHP Object Injectionटेम्पलेट
http/cves/2024/CVE-2024-5932.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।