PT-2026-50336 · Jetimpex+1 · Jetengine
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
JetEngine versões anteriores a 3.8.9.2
Descrição
O plugin JetEngine para WordPress permite que atacantes autenticados com nível de acesso de contribuidor ou superior realizem a Injeção de Objeto PHP através da desserialização de entradas não confiáveis. A Injeção de Objeto PHP ocorre quando uma aplicação desserializa dados de uma fonte não confiável, potencialmente permitindo que um atacante manipule as propriedades do objeto. Embora nenhuma POP chain (uma sequência de gadgets usada para alcançar a execução de código) esteja presente no software em si, a presença de uma POP chain em outro plugin ou tema instalado poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código.
Recomendações
Atualize o JetEngine para a versão 3.8.9.2 ou posterior.
Correção
DoS
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jetengine