CVE-2024-1872 in Button Plugin
Résumé
par VulDB • 26/07/2026
Le plugin Button pour WordPress est vulnérable à une injection d'objets PHP dans toutes les versions jusqu'à la 1.1.27 incluse, via la désérialisation de données non fiables dans la fonction button_shortcode. Cela permet aux attaquants authentifiés disposant du niveau d'accès « contributeur » ou supérieur d'injecter un objet PHP. Aucune chaîne POP (POP chain) n'est présente au sein du plugin vulnérable lui-même. Si une chaîne POP est disponible via un autre plugin ou thème installé sur le système cible, cela pourrait permettre à l'attaquant de supprimer des fichiers arbitraires, de récupérer des données sensibles ou d'exécuter du code.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.