PT-2024-18402 · WordPress · The Event Monster
Francesco Carlucci
·
Publicado
2024-04-30
·
Atualizado
2025-06-05
·
CVE-2024-1895
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
The Event Monster – plugin de gerenciamento de eventos, reserva de ingressos e eventos futuros para o WordPress, versões até a 1.3.4, inclusive
Descrição
O problema diz respeito a uma vulnerabilidade de injeção de objeto PHP por meio da desserialização de entradas não confiáveis de um valor meta personalizado através de um shortcode. Isso permite que invasores autenticados com acesso de colaborador ou superior injetem um objeto PHP. Se houver uma cadeia POP por meio de um plugin ou tema adicional, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.
Recomendações
Para versões até e incluindo a 1.3.4, atualize para uma versão corrigida, se disponível, ou remova o plugin para mitigar o risco.
Como solução temporária, considere auditar o código do plugin em busca de deserialização insegura e restringir o acesso a dados confidenciais até que uma correção esteja disponível.
Evite usar shortcodes que deserializem entradas não confiáveis de valores meta personalizados até que o problema seja resolvido.
Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Event Monster