Уразливість PHP Object Injection у плагіні Appointments для WordPress

Що відомо

Плагін Appointments для WordPress версій до 2.2.1 включно має критичну уразливість PHP Object Injection через десеріалізацію недовірених даних з cookie wpmudev_appointments. Це дозволяє неавторизованим зловмисникам впроваджувати PHP-об’єкти та створювати бекдори.

Бізнес-вплив

Уразливість може призвести до повного компрометації вебсайту, оскільки зловмисники можуть виконувати довільний код на сервері через впровадження об’єктів PHP. Це створює серйозні ризики для безпеки даних, доступності сервісів і репутації компанії, що використовує плагін Appointments.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна Appointments від wpmudev та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до cookie wpmudev_appointments, провести аудит логів на ознаки експлуатації та мінімізувати експозицію сервера в інтернеті. Важливо також впровадити моніторинг аномальної активності та планувати пріоритетне оновлення.

Джерела

• NVD
• Reference
• Reference
• Reference