CVE-2024-1859: Luka wtyczki Slider Responsive Slideshow umożliwiająca PHP Object Injection

Co wiadomo

Wtyczka Slider Responsive Slideshow dla WordPressa jest podatna na PHP Object Injection poprzez deserializację niezweryfikowanych danych w funkcji awl_slider_responsive_shortcode we wszystkich wersjach do 1.3.8 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do usunięcia plików, wycieku danych lub wykonania złośliwego kodu.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z tej wtyczki, zwłaszcza gdy atakujący posiadają konto z uprawnieniami współtwórcy lub wyższymi. Może to skutkować utratą danych, naruszeniem integralności systemu oraz potencjalnym przejęciem kontroli nad serwerem. W przypadku współistnienia innych podatności w systemie ryzyko eskalacji ataku znacząco wzrasta.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Slider Responsive Slideshow u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Przegląd i aktualizacja innych wtyczek i motywów może również zmniejszyć ryzyko wykorzystania łańcucha POP.

Źródła

• NVD
• Reference
• Reference