CVE-2025-7504 in Friends Plugin
Sumário
de VulDB • 18/07/2026
O plugin Friends para WordPress é vulnerável a Injeção de Objetos PHP na versão 3.5.1 por meio da desserialização de entrada não confiada do parâmetro query_vars. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, injetem um Objeto PHP. Não há nenhuma cadeia POP (POP chain) conhecida presente no software vulnerável, o que significa que esta vulnerabilidade não tem impacto a menos que outro plugin ou tema contendo uma cadeia POP esteja instalado no site. Se houver uma cadeia POP presente por meio de um plugin adicional ou tema instalado no sistema alvo, isso pode permitir ao atacante realizar ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código, dependendo da cadeia POP presente. Isso requer acesso às chaves SALT_NONCE e SALT_KEY do site para ser explorado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.