Luka PHP Object Injection w motywie MultiPurpose dla WordPress (CVE-2024-7486)

Co wiadomo

Motyw MultiPurpose dla WordPress do wersji 1.2.0 włącznie jest podatny na PHP Object Injection poprzez deserializację niezaufanych danych w polu wpeden_post_meta. Atakujący z uprawnieniami co najmniej na poziomie Współautora mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do wykonania złośliwego kodu lub kradzieży danych.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress korzystających z motywu MultiPurpose, zwłaszcza gdy na serwerze zainstalowane są dodatkowe komponenty umożliwiające łańcuch POP. Może to skutkować utratą danych, nieautoryzowanym dostępem lub usunięciem plików, co negatywnie wpływa na dostępność i integralność usług internetowych.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować wersję motywu MultiPurpose i zaktualizować go do najnowszej dostępnej wersji. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników, przegląd zainstalowanych wtyczek i motywów pod kątem potencjalnych łańcuchów POP, monitorowanie logów oraz minimalizowanie ekspozycji serwisu na ataki.

Źródła

• NVD
• Reference
• Reference