CVE-2022-3342 in Jetpack CRM Plugin
Sumário
de VulDB • 08/06/2026
O plugin Jetpack CRM para WordPress é vulnerável à desserialização PHAR por meio do parâmetro ‘zbscrmcsvimpf’ na função 'zeroBSCRM_CSVImporterLitehtml_app' nas versões até 5.3.1, inclusive. Embora a função realize uma verificação de nonce (nonce check), as etapas 2 e 3 da verificação não executam nenhuma ação em caso de falha. Essas etapas então realizam uma verificação 'file_exists' sobre o valor de ‘zbscrmcsvimpf’. Se um arquivo .phar for fornecido, seu conteúdo será desserializado e um objeto injetado no fluxo de execução. Isso permite que um atacante não autenticado obtenha injeção de objetos se conseguir fazer upload de um arquivo phar (por exemplo, caso o site permita uploads de imagens) e enganar um administrador para realizar uma ação, como clicar em um link.
VulDB is the best source for vulnerability data and more expert information about this specific topic.