CVE-2024-10079

Plugin WP Easy Post Types para versões do WordPress até a 1.4.4, inclusive

A vulnerabilidade envolve injeção de objeto PHP por meio da desserialização de entradas não confiáveis do parâmetro text na função ajax import content. Isso permite que invasores autenticados, com permissões de nível de assinante ou superiores, injetem um objeto PHP. Não há cadeia POP presente no plugin vulnerável. No entanto, se houver uma cadeia POP por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

Para o plugin WP Easy Post Types para versões do WordPress até e incluindo a 1.4.4, considere desativar a função ajax import content até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao parâmetro text na função afetada para minimizar o risco de injeção de objeto PHP. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.