CVE-2023-28667 in Lead Generated Plugin

الملخص

بحسب VulDB • 05/06/2026

أثر ثغرة عدم الأمان في عملية فك التسلسل (insecure deserialization) غير المصادق عليها على إضافة WordPress "The Lead Generated" بالإصدار 1.23 أو أقل. يتم تمرير المعلمة tve_labels الخاصة بإجراء tve_api_form_submit إلى دالة PHP unserialize() دون تطهيرها أو التحقق منها، مما قد يؤدي إلى حقن كائنات PHP (PHP object injection). وعند اقتران ذلك بتنفيذيات فئات معينة / سلاسل أدوات (gadget chains)، يمكن استغلال الثغرة لتنفيذ مجموعة متنوعة من الإجراءات الخبيثة بشرط وجود سلسلة POP أيضًا.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• حجز: 20/03/2023
• إفشاء: 22/03/2023
• الاعتدال: تمت الموافقة
• إدخال: VDB-223619
• CPE: جاهز
• CWE: CWE-502 (مؤكد)
• CVSS: 9.8 (NVD)
• EPSS: 0.01105
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-28667
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-28667
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-28667/