Luka PHP Object Injection w wtyczce Ditty dla WordPress (CVE-2024-3954)

Co wiadomo

Wtyczka Ditty dla WordPress do wersji 3.1.38 jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych podczas dodawania nowego elementu. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do usunięcia plików, wycieku danych lub wykonania złośliwego kodu.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z wtyczki Ditty, zwłaszcza jeśli na serwerze zainstalowano dodatkowe komponenty umożliwiające łańcuch POP. Może to skutkować utratą danych, naruszeniem integralności systemu oraz eskalacją uprawnień, co wpływa na stabilność i zaufanie do usług online.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ditty u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego, monitoruj logi pod kątem podejrzanych działań oraz rozważ audyt zainstalowanych wtyczek i motywów pod kątem potencjalnych łańcuchów POP. Priorytetyzuj działania zabezpieczające w oparciu o ryzyko i ekspozycję systemu.

Źródła

• NVD
• Reference
• Reference