CVE-2024-12877
Açıklama
WordPress için GiveWP – Donation Plugin and Fundraising Platform eklentisi, 3.19.2 dahil önceki tüm sürümlerde, bağış formundaki 'firstName' gibi güvenilmeyen girdilerin serileştirilmesi (deserialization) yoluyla PHP Object Injection zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların bir PHP Nesnesi enjekte etmesini mümkün kılar. Ek olarak mevcut olan bir POP zinciri, saldırganların sunucudaki rastgele dosyaları silmesine izin vererek uzaktan kod çalıştırmayı mümkün hale getirir. Bunun 3.19.3 sürümünde yalnızca kısmen yamandığına, tam anlamıyla yeterli bir yamanın ise 3.19.4 sürümüne kadar yayınlanmadığına lütfen dikkat edin. Ancak, başka bir CNA tarafından 3.19.3 sürümü için başka bir CVE atandığından, bu durumu 3.19.2 ve öncesini etkiliyor şeklinde bırakacağız. Gelecekte herhangi bir serileştirme zafiyetinin oluşmasını önlemek için satıcıya JSON kodlaması kullanmaları önerilmiştir.
GivewpNasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| givewp givewp | v ≤ 3.19.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.