CVE-2024-5724

Nome do software vulnerável e versões afetadas:

Plugin Photo Video Gallery Master para o WordPress, versões até a 1.5.3, inclusive

Descrição:

O plugin Photo Video Gallery Master para WordPress está vulnerável à injeção de objeto PHP (POP) por meio da desserialização do parâmetro de entrada não confiável PVGM all photos details. Isso permite que invasores autenticados, com acesso de nível Contribuidor ou superior, injetem um objeto PHP. Não há nenhuma cadeia POP conhecida presente no software vulnerável. Se uma cadeia POP estiver presente por meio de um plugin ou tema adicional instalado no sistema alvo, isso poderia permitir que o invasor exclua arquivos arbitrários, recupere dados confidenciais ou execute código.

Recomendações:

Para versões até a 1.5.3, inclusive, considere desativar a deserialização do parâmetro PVGM all photos details até que um patch esteja disponível. Restrinja o acesso ao plugin para minimizar o risco de exploração. Evite usar o parâmetro PVGM all photos details no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.