Luka PHP Object Injection w wtyczce Visitor Logic Lite dla WordPress (CVE-2025-14044)

Co wiadomo

Wtyczka Visitor Logic Lite dla WordPress do wersji 1.0.3 włącznie jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych z ciasteczka 'lpblocks'. Luka wynika z przekazywania niesanitizowanych danych bezpośrednio do funkcji unserialize().

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do usunięcia plików, wykradzenia danych lub wykonania złośliwego kodu. Zagrożenie to może poważnie wpłynąć na bezpieczeństwo i integralność serwisu WordPress oraz danych firmowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Visitor Logic Lite i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt zainstalowanych wtyczek i motywów pod kątem potencjalnych łańcuchów ataku.

Źródła

• NVD
• Reference
• Reference
• Reference