CVE-2024-52433

My Geo Posts Free <= 1.2 - Injeção de Objeto PHP não Autenticada

Descrição

O plugin My Geo Posts Free para WordPress é vulnerável a Injeção de Objeto PHP nas versões até, e incluindo, 1.2 através da desserialização de entrada não confiável. Isso possibilita que atacantes não autenticados injetem um Objeto PHP. Nenhuma cadeia POP conhecida está presente no software vulnerável. Se uma cadeia POP estiver presente por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o atacante exclua arquivos arbitrários, recupere dados sensíveis ou execute código.

Link de download: Baixar my-geo-posts-free Versão 1.2

Tipo: plugin
Pontuação CVSS: 9.8
Vetor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE: CVE-2024-52433
Slug: my-geo-posts-free

POC

GET / HTTP/2
Host: wp-dev.ddev.site
Cookie: mgpf_geo_coockie=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=