CVE-2026-115806

Nome do Software Vulnerável e Versões Afetadas Prime Mover versões anteriores a 2.2.2

Descrição Um invasor não autenticado pode realizar a Injeção de Objeto PHP enviando um objeto serializado, codificado em base64, através do endpoint padrão de envio de comentários 'wp-comments-post.php', que é armazenado em wp comments.comment content. O problema ocorre durante uma rotina de busca e substituição de migração na função recursiveUnserializeReplace() quando um administrador realiza uma operação de exportação ou restauração. O plugin decodifica o valor armazenado e o passa para unserialize() sem restringir as classes permitidas. Isso permite o uso de uma cadeia de Programação Orientada a Propriedades (POP)—uma técnica que utiliza fragmentos de código existentes (gadgets) para executar lógicas não pretendidas—encontrada na biblioteca Freemius incluída, através da sequência FS Clone Manager:: set para FS Option Manager::set option para store() para update option(). Isso pode levar à gravação arbitrária de opções e execução remota de código.

Recomendações Atualize o Prime Mover para a versão 2.2.2 ou posterior.