PT-2024-18565 · WordPress · The Modal Popup Box – Popup Builder
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
O plugin “The Modal Popup Box – Popup Builder, Show Offers And News in Popup” para o WordPress, nas versões até a 1.5.2, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível de colaborador ou superior injetem um objeto PHP por meio da desserialização de entradas não confiáveis na função
awl modal popup box shortcode. Se houver uma cadeia POP por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.Recomendações
Para versões até a 1.5.2, inclusive, considere desativar a função
awl modal popup box shortcode até que um patch esteja disponível para impedir a injeção de objeto PHP. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração, especialmente para usuários com acesso de nível de colaborador ou superior.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Modal Popup Box – Popup Builder