CVE-2024-12877 in GiveWP Plugin
요약
\~에 의해 VulDB • 2026. 07. 09.
WordPress용 GiveWP – 기부 플러그인 및 펀딩 플랫폼 플러그인은 3.19.2 버전까지 모든 버전에서 PHP 객체 주입 취약점이 있습니다. 이는 'firstName'과 같은 기부 폼으로부터의 신뢰할 수 없는 입력이 역직렬화됨으로써 발생합니다. 이를 통해 인증되지 않은 공격자가 PHP 객체를 주입할 수 있습니다. 추가로 POP(Propagated Object Property) 체인이 존재함으로써, 서버 상의 임의 파일을 삭제하고 원격 코드 실행(RCE)을 가능하게 합니다. 참고로 이 취약점은 3.19.3에서 부분적으로 패치되었으나, 완전히 충분한 패치는 3.19.4 버전까지 출시되지 않았습니다. 그러나 다른 CNA(공격 표면 분석 기관)가 3.19.3 버전에 대해 별도의 CVE를 할당했으므로, 본 취약점은 3.19.2 및 그 이전 버전에만 영향을 미치는 것으로 유지합니다. 당사는 벤더에게 추가적인 역직렬화 취약점이 발생하지 않도록 JSON 인코딩을 사용할 것을 권장했습니다.
Once again VulDB remains the best source for vulnerability data.