CVE-2024-8353 के लिए प्रूफ-ऑफ-कॉन्सेप्ट कोड

इस रिपॉजिटरी में WordPress के GiveWP प्लगइन में CVE-2024-8353 भेद्यता का शोषण करने के लिए एक स्क्रिप्ट है। यह भेद्यता बिना प्रमाणीकरण के PHP ऑब्जेक्ट इंजेक्शन की अनुमति देती है, जो संभावित रूप से रिमोट कोड निष्पादन की ओर ले जाती है।

अवलोकन

प्रदान की गई स्क्रिप्ट शोषण का प्रदर्शन करती हैं:

• पायथन स्क्रिप्ट: कमजोर फॉर्मों की पहचान करने, नॉन्स प्राप्त करने और भेद्यता को ट्रिगर करने के लिए पेलोड वितरित करने की प्रक्रिया को स्वचालित करती है।
• PHP स्क्रिप्ट: डीसीरियलाइज़ेशन हमले की यांत्रिकी को प्रदर्शित करने के लिए एक तैयार पेलोड के रूप में कार्य करती है।

भेद्यता का विवरण

CVE-2024-8353 GiveWP प्लगइन के संस्करण 3.16.1 तक को प्रभावित करता है। यह भेद्यता give_title और card_address जैसे पैरामीटरों के माध्यम से सीरीयलाइज्ड इनपुट के अनुचित हैंडलिंग के कारण उत्पन्न होती है। हमलावर मनमाना PHP कोड इंजेक्ट और निष्पादित करने के लिए इसका शोषण कर सकते हैं।

आवश्यक शर्तें

• Python 3.x
• PHP 7.x या बाद का संस्करण
• requirements.txt में सूचीबद्ध आवश्यक Python पैकेज