CVE-2024-8353

WordPress üçün nəzərdə tutulmuş GiveWP – Donation Plugin and Fundraising Platform plagini, 3.16.1 daxil olmaqla bütün versiyalarda 'give_title' və 'card_address' kimi bir neçə parametr vasitəsilə etibarsız girişin deserializasiyası nəticəsində PHP Object Injection zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara PHP obyektinin inyeksiya edilməsinə imkan verir. Əlavə POP zəncirinin mövcudluğu hücumçulara ixtiyari faylları silməyə və uzaqdan kodun icrasına nail olmağa şərait yaradır. Bu, əslində CVE-2024-5932 ilə eyni zəiflikdir, lakin user_info üzərində stripslashes_deep funksiyasının mövcudluğunun is_serialized yoxlamasının yan keçilməsinə imkan verdiyi aşkar edilmişdir. Bu problem əsasən 3.16.1 versiyasında aradan qaldırılmışdır, lakin 3.16.2 versiyasında əlavə təhlükəsizlik tədbirləri tətbiq edilmişdir.