Критична вразливість PHP Object Injection у плагіні Give Tributes для WordPress

Що відомо

Плагін Give Tributes для WordPress до версії 2.3.1 містить критичну вразливість PHP Object Injection через десеріалізацію недовірених даних. Вразливість активується лише за наявності певних налаштувань і додаткових плагінів або тем із POP-ланцюгом, що може призвести до виконання довільного коду або доступу до конфіденційної інформації.

Бізнес-вплив

Якщо на сайті активовано опцію «Allow Multiple Recipients» і встановлено додаткові плагіни або теми з POP-ланцюгом, зловмисники можуть використати цю вразливість для видалення файлів, викрадення даних або виконання шкідливого коду. Це створює серйозну загрозу для безпеки вебресурсу та може призвести до втрати даних або порушення роботи сайту.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити версію плагіна Give Tributes і оновити його до останньої, якщо доступна. Варто також перевірити налаштування форми пожертв, особливо опцію «Allow Multiple Recipients», та розглянути можливість її відключення. Рекомендується провести аудит встановлених плагінів і тем на наявність POP-ланцюгів, обмежити доступ до форми пожертв і переглянути журнали безпеки на предмет підозрілої активності. Для додаткової підтримки варто звернутися до DataHouse для перевірки версій, управління патчами та зменшення мережевого впливу.

Джерела

• NVD
• Reference
• Reference