Уразливість PHP Object Injection у плагіні wpForo Forum для WordPress

Що відомо

Плагін wpForo Forum для WordPress версій до 2.4.13 включно містить уразливість PHP Object Injection через десеріалізацію недовірених даних у функції wpforo_display_array_data. Атакувальники з рівнем доступу не нижче Subscriber можуть інжектувати PHP-об’єкти, що потенційно дозволяє виконувати шкідливі дії за наявності відповідної POP-ланцюжка в інших плагінах або темах.

Бізнес-вплив

Якщо на сайті встановлені додаткові плагіни або теми, що містять POP-ланцюжки, ця уразливість може дозволити зловмисникам видаляти файли, отримувати конфіденційні дані або виконувати довільний код. Це створює серйозну загрозу для безпеки веб-ресурсу та може призвести до втрати даних або компрометації системи.

Рекомендовані дії адміністратора

Рекомендується оновити плагін wpForo Forum до останньої версії, перевірити наявність інших плагінів або тем із POP-ланцюжками, обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та застосувати заходи зменшення впливу уразливості до оновлення.

Джерела

• NVD
• Reference
• Reference
• Reference