CVE-2024-12877 in GiveWP Plugin
Сводка
по VulDB • 07.09.2026
В плагине GiveWP – Donation Plugin and Fundraising Platform для WordPress, во всех версиях вплоть до 3.19.2 включительно, присутствует уязвимость PHP Object Injection (инъекция объектов PHP), возникающая в результате десериализации недоверенных данных из формы пожертвования, таких как поле 'firstName'. Это позволяет неавторизованным злоумышленникам внедрять объекты PHP. Дополнительное наличие POP-цепочки (POP chain) дает возможность удаленного удаления произвольных файлов на сервере, что приводит к возможности выполнения кода в удаленном режиме (RCE). Обратите внимание: данная уязвимость была исправлена лишь частично в версии 3.19.3; полностью достаточный патч был выпущен только в версии 3.19.4. Однако для версии 3.19.3 другая CNA присвоила отдельный CVE, поэтому мы оставляем эту запись как затрагивающую версии 3.19.2 и более ранние. Мы рекомендовали разработчику использовать кодирование JSON (JSON encoding) для предотвращения появления дальнейших уязвимостей, связанных с десериализацией.
If you want to get best quality of vulnerability data, you may have to visit VulDB.