CVE-2024-12721

Plugin “Custom Product Tabs For WooCommerce” para o WordPress, versões até e incluindo a 1.2.4

O plugin “Custom Product Tabs For WooCommerce” para o WordPress está vulnerável à injeção de objetos PHP por meio da desserialização de entradas não confiáveis do parâmetro wb custom tabs. Isso possibilita que invasores autenticados, com acesso de nível de Gerente de Loja ou superior, injetem um objeto PHP. Não há nenhuma cadeia POP conhecida presente no software vulnerável. No entanto, se uma cadeia POP estiver presente por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

Para versões até a 1.2.4, inclusive, considere desativar a deserialização do parâmetro wb custom tabs até que um patch esteja disponível. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. Evite usar o parâmetro wb custom tabs no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.