CVE-2024-52433

My Geo Posts Free <= 1.2 - Unauthenticated PHP Object Injection

विवरण

WordPress के लिए My Geo Posts Free प्लगइन, संस्करण 1.2 तक और उसे शामिल करते हुए, अविश्वसनीय इनपुट के डीसेरिएलाइज़ेशन के माध्यम से PHP ऑब्जेक्ट इंजेक्शन के प्रति संवेदनशील है। इससे बिना प्रमाणीकरण के हमलावरों के लिए PHP ऑब्जेक्ट इंजेक्ट करना संभव हो जाता है। कमजोर सॉफ्टवेयर में कोई ज्ञात POP श्रृंखला मौजूद नहीं है। यदि लक्ष्य प्रणाली पर स्थापित किसी अतिरिक्त प्लगइन या थीम के माध्यम से POP श्रृंखला मौजूद है, तो यह हमलावर को मनमानी फ़ाइलों को हटाने, संवेदनशील डेटा पुनर्प्राप्त करने या कोड निष्पादित करने की अनुमति दे सकती है।

डाउनलोड लिंक: Download my-geo-posts-free Version 1.2

प्रकार: plugin
CVSS स्कोर: 9.8
CVSS वेक्टर: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE: CVE-2024-52433
स्लग: my-geo-posts-free

POC

GET / HTTP/2
Host: wp-dev.ddev.site
Cookie: mgpf_geo_coockie=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=