CVE-2024-12877 in GiveWP Plugin
要約
〜によって VulDB • 2026年09月07日
WordPress用プラグイン「GiveWP – Donation Plugin and Fundraising Platform」には、バージョン3.19.2以前（3.19.2を含む）のすべてのバージョンにおいてPHPオブジェクト注入の脆弱性が存在します。これは寄付フォームからの信頼できない入力（例：'firstName'）の不審な逆シリアライズによって引き起こされます。これにより、認証されていない攻撃者がPHPオブジェクトを注入することが可能になります。さらにPOPチェーンが存在するため、攻撃者はサーバー上の任意のファイルを削除でき、それを通じてリモートコード実行が可能となります。なお、この脆弱性はバージョン3.19.3で部分的に修正されましたが、完全に十分なパッチはバージョン3.19.4までリリースされませんでした。しかし、別のCNAによってバージョン3.19.3に対して別CVEが付与されたため、本CVEの影響範囲を「3.19.2およびそれ以前」として維持します。当方では、ベンダーに対しJSONエンコーディングの使用を推奨し、さらなる逆シリアライズ脆弱性の発生を防ぐよう提案しています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.