PT-2024-38377 · WordPress · Multipurpose
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Tema MultiPurpose para o WordPress, versões até a 1.2.0, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível Contribuidor ou superior injetem um objeto PHP por meio da desserialização de entradas não confiáveis através do meta de postagem
wpeden post meta. Isso pode potencialmente levar à exclusão de arquivos arbitrários, à recuperação de dados confidenciais ou à execução de código caso exista uma cadeia POP, possivelmente introduzida por um plugin ou tema adicional.Recomendações
Para versões até a 1.2.0, inclusive, considere desativar a deserialização de entradas não confiáveis por meio do meta de postagem
wpeden post meta como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a dados e arquivos confidenciais para minimizar o risco de exploração.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Multipurpose