PT-2024-18637 · WordPress · Buddypress Woocommerce My Account Integration
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
BuddyPress WooCommerce My Account Integration. Plugin Create WooCommerce Member Pages para versões do WordPress até a 3.4.20, inclusive
Descrição
O problema diz respeito à injeção de objeto PHP por meio da desserialização de entradas não confiáveis na função
get simple request. Isso permite que invasores autenticados com acesso de nível de assinante ou superior injetem um objeto PHP. Se houver uma cadeia POP por meio de um plugin ou tema adicional, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.Recomendações
Para versões até a 3.4.20, inclusive, atualize para uma versão superior à 3.4.20 para resolver o problema.
Como solução temporária, considere restringir o acesso à função
get simple request até que um patch esteja disponível.Evite usar entradas não confiáveis na função
get simple request para minimizar o risco de exploração.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Buddypress Woocommerce My Account Integration