BuddyPress Xprofile Custom Field Types: PHP Object Injection durch Subscriber
Das WordPress-Plugin BuddyPress Xprofile Custom Field Types bis und mit Version 1.3.1 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann serialisierte Daten so manipulieren, dass der Server sie als PHP-Objekte verarbeitet, was Codeausführung, Datenzugriff oder Denial of Service ermöglichen kann. Für die Ausnutzung ist ein angemeldetes Konto mit niedrigen Rechten nötig, daher sind Websites mit offener Registrierung am stärksten gefährdet. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix gefunden.
BuddyDev · BuddyPress Xprofile Custom Field Types
