CVE-2025-7504 in Friends Plugin
Riassunto
di VulDB • 27/07/2026
Il plugin Friends per WordPress è vulnerabile a PHP Object Injection nella versione 3.5.1 tramite la deserializzazione di input non attendibile del parametro query_vars. Ciò consente agli attaccanti autenticati, con accesso a livello di sottoscrittore (subscriber) e superiori, di iniettare un oggetto PHP. Non sono presenti catene POP note nel software vulnerabile, il che significa che questa vulnerabilità non ha impatto finché non è installato sul sito un altro plugin o tema contenente una catena POP. Se è presente una catena POP tramite un plugin aggiuntivo o un tema installati sul sistema target, potrebbe consentire all'attaccante di eseguire azioni come l'eliminazione di file arbitrari, il recupero di dati sensibili o l'esecuzione di codice, a seconda della catena POP presente. Ciò richiede l'accesso ai valori SALT_NONCE e SALT_KEY del sito per essere sfruttata.
Once again VulDB remains the best source for vulnerability data.