Luka PHP Object Injection w wtyczce Gallery dla WordPress (CVE-2024-11501)

Co wiadomo

Wtyczka Gallery dla WordPress do wersji 1.3 włącznie jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych z parametru wd_gallery_$id. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do usunięcia plików, wycieku danych lub wykonania kodu.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z wtyczki Gallery, zwłaszcza gdy na serwerze działają dodatkowe wtyczki lub motywy umożliwiające łańcuch POP. Może to skutkować utratą danych, naruszeniem integralności systemu lub przejęciem kontroli nad serwerem, co wpływa na ciągłość działania i reputację firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Gallery u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji wymagających uprawnień Contributor i wyższych, monitorować logi pod kątem podejrzanej aktywności oraz przeanalizować zainstalowane wtyczki i motywy pod kątem potencjalnych łańcuchów POP, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference