PT-2024-34445 · WordPress · The Hash Form – Drag & Drop Form Builder
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas:
O plugin The Hash Form – Drag & Drop Form Builder para versões do WordPress até a 1.1.0, inclusive
Descrição:
O problema está relacionado à injeção de objeto PHP por meio da desserialização de entradas não confiáveis na função
process entry. Isso permite que invasores não autenticados injetem um objeto PHP. Embora não haja nenhuma cadeia POP conhecida no software vulnerável, a presença de uma por meio de um plugin ou tema adicional poderia permitir que invasores excluíssem arquivos arbitrários, recuperassem dados confidenciais ou executassem código.Recomendações:
Para versões até e incluindo a 1.1.0, considere desativar a função
process entry até que um patch esteja disponível para impedir a deserialização de entradas não confiáveis. Restrinja o acesso a dados e arquivos confidenciais para minimizar o risco de exploração. Evite usar entradas não confiáveis na função process entry para impedir a injeção de objetos PHP. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Hash Form – Drag & Drop Form Builder