Krytyczna luka PHP Object Injection w wtyczce Give Tributes dla WordPress

Co wiadomo

Wtyczka Give Tributes do WordPressa do wersji 2.3.1 jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych, co umożliwia nieautoryzowanym atakującym wstrzyknięcie obiektu PHP. Luka ta jest aktywna tylko przy włączonej opcji „Allow Multiple Recipients” i wyłączonej opcji „Custom Message” w formularzu darowizn.

Wpływ biznesowy

Jeśli na stronie z podatną wtyczką zainstalowano dodatkowe motywy lub wtyczki zawierające łańcuch POP, atakujący może wykorzystać tę lukę do usuwania plików, kradzieży danych lub wykonania złośliwego kodu. To stanowi poważne zagrożenie dla integralności i bezpieczeństwa serwisu oraz danych użytkowników, szczególnie w środowiskach z wieloma wtyczkami i motywami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Give Tributes i ich instalację. W międzyczasie warto ograniczyć lub wyłączyć opcję „Allow Multiple Recipients” oraz zweryfikować konfigurację opcji „Custom Message”. Należy także przejrzeć logi serwera pod kątem podejrzanych działań i ograniczyć ekspozycję serwisu na zewnętrzne ataki. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzanie aktualizacjami oraz monitorowanie logów bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference