PT-2024-32543 · WordPress · Shiftcontroller Employee Shift Scheduling
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do plugin ShiftController Employee Shift Scheduling até a 4.9.57, inclusive
Descrição
O plugin ShiftController Employee Shift Scheduling está vulnerável à injeção de objetos PHP por meio da desserialização de entradas não confiáveis através do cookie
hc3 session. Isso possibilita que um invasor autenticado com nível de acesso de colaborador ou superior injete um objeto PHP. Não há cadeia POP presente no plugin vulnerável. No entanto, se houver uma cadeia POP por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.Recomendações
Para versões do plugin ShiftController Employee Shift Scheduling até e incluindo a 4.9.57, atualize para uma versão superior à 4.9.57 para mitigar o risco de injeção de objeto PHP. Como solução temporária, considere restringir o acesso ao cookie
hc3 session para minimizar o risco de exploração. Além disso, restrinja o nível de acesso de colaborador ou superior apenas a usuários confiáveis.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Shiftcontroller Employee Shift Scheduling