CVE-2024-1897: Wstrzyknięcie obiektu PHP w wtyczce Grid Gallery dla WordPress

Co wiadomo

Wtyczka Grid Gallery – Photo Image Grid Gallery dla WordPress do wersji 1.4.3 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych z wartości meta awl_gg_settings_. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do usunięcia plików, wycieku danych lub wykonania kodu.

Wpływ biznesowy

Podatność stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z tej wtyczki, zwłaszcza gdy atakujący posiadają konto z uprawnieniami współtwórcy lub wyższymi. Może to skutkować utratą danych, naruszeniem integralności plików lub eskalacją uprawnień, co wpływa na stabilność i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Grid Gallery i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do niezbędnego minimum, szczególnie kont z uprawnieniami współtwórcy i wyższymi. Dodatkowo warto przejrzeć logi pod kątem podejrzanych działań oraz ocenić ryzyko wynikające z innych zainstalowanych wtyczek i motywów, które mogą umożliwić łańcuch POP.

Źródła

• NVD
• Reference
• Reference
• Reference