Luka wtyczki Formidable Forms umożliwiająca PHP Object Injection

Co wiadomo

Wtyczka Formidable Forms dla WordPressa w wersjach przed 6.2 nieprawidłowo deserializuje dane użytkownika, co może pozwolić anonimowym atakującym na wykonanie PHP Object Injection, jeśli dostępny jest odpowiedni gadżet.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania złośliwego kodu na serwerze, co zagraża integralności i bezpieczeństwu aplikacji oraz danych. Może to prowadzić do przejęcia kontroli nad serwerem lub eskalacji uprawnień, co jest krytyczne dla właścicieli stron opartych na WordPressie korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Formidable Forms do wersji 6.2 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do formularzy, monitorować logi pod kątem podejrzanej aktywności oraz stosować ogólne zasady minimalizacji ekspozycji aplikacji webowych.

Źródła

• NVD
• Reference