Уразливість PHP Object Injection у плагіні Essential Blocks для WordPress

Що відомо

Плагін Essential Blocks для WordPress версій до 4.2.0 включно має уразливість PHP Object Injection через десеріалізацію недовірених даних у функції get_products. Це дозволяє неавторизованим зловмисникам інжектувати PHP-об’єкти.

Бізнес-вплив

Якщо на цільовій системі встановлені додаткові плагіни або теми, що створюють POP-ланцюжок, зловмисник може видаляти файли, отримувати конфіденційні дані або виконувати довільний код. Це створює високий ризик компрометації веб-сайту та інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Essential Blocks від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до функції get_products, зменшити поверхню атаки, переглянути журнали на предмет підозрілої активності та пріоритезувати виправлення у вашому середовищі.

Джерела

• NVD
• Reference
• Reference