Luka PHP Object Injection w wtyczce Album Gallery dla WordPress

Co wiadomo

Wtyczka Album Gallery dla WordPress do wersji 1.6.3 jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych z meta galerii. Luka wymaga uprawnień edytora lub wyższych i może prowadzić do wykonania złośliwego kodu, jeśli na stronie zainstalowano dodatkową wtyczkę lub motyw zawierający łańcuch POP.

Wpływ biznesowy

Podatność może umożliwić atakującym z uprawnieniami edytora lub wyższymi wykonanie nieautoryzowanych działań, takich jak usuwanie plików, dostęp do wrażliwych danych lub wykonanie kodu, pod warunkiem obecności łańcucha POP w innych komponentach strony. Może to prowadzić do poważnych naruszeń bezpieczeństwa i utraty integralności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Album Gallery oraz innych zainstalowanych wtyczek i motywów pod kątem obecności łańcuchów POP. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi systemowe pod kątem podejrzanej aktywności. Priorytetowo traktuj przegląd i aktualizację komponentów WordPressa, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference