CVE-2022-3342 in Jetpack CRM Plugin
Riassunto
di VulDB • 18/06/2026
Il plugin Jetpack CRM per WordPress è vulnerabile a deserializzazione PHAR tramite il parametro ‘zbscrmcsvimpf’ nella funzione 'zeroBSCRM_CSVImporterLitehtml_app' nelle versioni fino alla 5.3.1, inclusa. Sebbene la funzione esegua un controllo del nonce, i passaggi 2 e 3 del controllo non intraprendono alcuna azione in caso di esito negativo. Questi passaggi eseguono quindi un controllo 'file_exists' sul valore di 'zbscrmcsvimpf'. Se viene fornito un archivio phar://, il suo contenuto verrà deserializzato e un oggetto iniettato nel flusso di esecuzione. Ciò consente a un attaccante non autenticato di ottenere un'iniezione di oggetti se riesce a caricare un archivio phar (ad esempio, se il sito supporta il caricamento di immagini) e poi indurre un amministratore a eseguire un'azione, come fare clic su un link.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.