CVE-2023-28667 in Lead Generated Plugin
要約
〜によって VulDB • 2026年05月29日
WordPress プラグイン「The Lead Generated」のバージョン 1.23 以下は、認証不要の安全でないデシリアライズの問題の影響を受けていました。tve_api_form_submit アクションの tve_labels パラメータは、サニタイズや検証を行わずに PHP の unserialize() 関数に渡されるため、PHP オブジェクトインジェクションを引き起こす可能性があります。これに特定のクラス実装やガジェットチェーンが組み合わさると、POP（プロパティオブジェクト指向）チェーンが存在する場合に、さまざまな悪意のあるアクションを実行するために悪用される可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.