PT-2024-18445 · WordPress · The Logo Showcase Ultimate
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
O plugin Logo Showcase Ultimate – Logo Carousel, Logo Slider & Logo Grid para o WordPress, em versões até a 1.3.8, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de colaborador ou superior injetem um objeto PHP por meio da desserialização de entradas não confiáveis através de um shortcode. Isso pode potencialmente levar à exclusão de arquivos arbitrários, à recuperação de dados confidenciais ou à execução de código, caso exista uma cadeia POP, seja por meio de um plugin ou tema adicional instalado no sistema alvo.
Recomendações
Para versões até a 1.3.8, inclusive, atualize para uma versão que corrija a vulnerabilidade de injeção de objeto PHP para evitar a exploração.
Como solução temporária, considere restringir o acesso de colaboradores e níveis superiores para minimizar o risco de exploração até que um patch esteja disponível.
Evite usar shortcodes com entradas não confiáveis no plugin afetado até que a vulnerabilidade seja resolvida.
Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
The Logo Showcase Ultimate