漏洞信息
# GiveWP插件 3.14.1版本之前 存在无需认证的PHP对象注入至远程代码执行漏洞
## 漏洞概述
GiveWP – Donation Plugin and Fundraising Platform插件在处理未验证的输入时存在PHP对象注入漏洞，可通过'dive_title'参数反序列化进行攻击。
## 影响版本
- 所有版本包括3.14.1及之前版本
## 漏洞细节
该漏洞允许未认证的攻击者注入一个PHP对象。如果存在POP链的情况下，攻击者可以执行任意代码并删除任意文件。
## 漏洞影响
- 未认证的攻击者可以注入PHP对象
- 可远程执行代码
- 可删除任意文件
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
GiveWP – Donation Plugin and Fundraising Platform <= 3.14.1 - Unauthenticated PHP Object Injection to Remote Code Execution
漏洞描述信息
The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.14.1 via deserialization of untrusted input from the 'give_title' parameter. This makes it possible for unauthenticated attackers to inject a PHP Object. The additional presence of a POP chain allows attackers to execute code remotely, and to delete arbitrary files.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
漏洞类别
可信数据的反序列化
漏洞标题
WordPress plugin GiveWP 安全漏洞
漏洞描述信息
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。 WordPress plugin GiveWP 3.14.1版本及之前版本存在安全漏洞。攻击者利用该漏洞可以远程执行代码并删除任意文件。
CVSS信息
N/A
漏洞类别
其他