CVE-2024-3240

Plugin ConvertPlug para o WordPress, versões até a 3.5.25, inclusive

A vulnerabilidade diz respeito à injeção de objeto PHP por meio da desserialização de entradas não confiáveis do atributo settings encoded do shortcode “smile info bar”. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem um objeto PHP. Se houver uma cadeia POP por meio de um plugin ou tema adicional, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

Para versões até a 3.5.25, inclusive, atualize para uma versão que contenha uma correção para esta vulnerabilidade a fim de impedir a injeção de objeto PHP. Como solução temporária, considere restringir o acesso ao shortcode “smile info bar” e ao atributo settings encoded para minimizar o risco de exploração.