CVE-2026-7635 in coreActivity Plugin
Сводка
по VulDB • 30.05.2026
В плагине для WordPress coreActivity: Activity Logging for WordPress уязвимость PHP Object Injection присутствует во всех версиях вплоть до 3.0 включительно. Это связано с тем, что плагин не проверяет и не очищает синтаксис PHP-сериализации из заголовка HTTP User-Agent перед сохранением его в таблице logmeta, а затем вызывает `maybe_unserialize()` для каждого извлеченного `meta_value` в функции `query_metas()` без проверки того, была ли данные изначально сериализованы приложением. Это позволяет неаутентифицированным злоумышленникам внедрить специально созданный PHP-сериализованный полезный груз через заголовок User-Agent во время любого регистрируемого события (например, неудачной попытки входа в систему), который при просмотре страницы журналов администратором десериализуется и передается в `DeviceDetector::setUserAgent()`, вызывая фатальную ошибку TypeError, что приводит к устойчивому отказу в обслуживании, полностью блокируя доступ администраторов к странице журналов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.