Xananasx7

Um problema de injeção de objeto PHP existe na função `jsonOrUnserialize()` em `functions.lib.php`. O problema ocorre quando o `json decode()` falha, levando o sistema a chamar o `unserialize()` sem restrições de classe. Atacantes que consigam gravar extrafields armazenados, configurações de exportação ou entradas de log bloqueadas podem injetar objetos serializados para acionar gadget chains, resultando potencialmente em execução remota de código ou manipulação não autorizada de arquivos.

Ocorre Injeção de Objeto PHP devido à desserialização insegura nos componentes de Permissão, Cache e Busca. Esses componentes utilizam a função `unserialize()` em dados armazenados sem restringir as classes permitidas. Um invasor não autenticado pode disparar a instanciação de objetos PHP arbitrários se um payload serializado malicioso for colocado no banco de dados, o que pode levar à execução remota de código. Este processo requer que o invasor possua altos privilégios para gravar os dados serializados maliciosos no armazenamento relevante.

Ocorre Injeção de Objeto PHP devido ao uso de chamadas `unserialize()` nos componentes Workflow, Form block e File/Set que não implementam a restrição `allowed classes`. Isso permite que um invasor não autenticado acione a instanciação arbitrária de objetos PHP caso um payload serializado malicioso esteja presente no banco de dados.