CVE-2024-12877 in GiveWP Plugin
Tóm tắt
Bởi VulDB • 08/09/2026
Plugin GiveWP – Donation Plugin and Fundraising Platform cho WordPress bị lỗi PHP Object Injection trong tất cả các phiên bản từ đầu đến, bao gồm cả 3.19.2, thông qua việc giải mã hóa (deserialization) dữ liệu không đáng tin cậy từ biểu mẫu quyên góp như 'firstName'. Điều này tạo điều kiện để những kẻ tấn công chưa xác thực có thể chèn một đối tượng PHP. Sự hiện diện của chuỗi POP cho phép các kẻ tấn công xóa tùy ý các tệp trên máy chủ, qua đó kích hoạt khả năng thực thi mã từ xa (RCE). Xin lưu ý rằng lỗi này chỉ được vá một phần trong phiên bản 3.19.3; bản vá đầy đủ và hiệu quả chưa được phát hành cho đến phiên bản 3.19.4. Tuy nhiên, một CVE khác đã được gán bởi một CNA khác cho phiên bản 3.19.3, vì vậy chúng tôi sẽ giữ nguyên phạm vi ảnh hưởng là các phiên bản từ đầu đến 3.19.2 và trước đó. Chúng tôi đã khuyến nghị nhà cung cấp sử dụng mã hóa JSON để ngăn ngừa bất kỳ lỗ hổng giải mã hóa (deserialization) nào khác xuất hiện trong tương lai.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.