GEO my WordPress: Unauthentifizierte PHP Object Injection
Das WordPress-Plugin GEO my WordPress bis und mit Version 4.5.5.3 enthält eine PHP Object Injection-Schwachstelle (CWE-502), bei der nicht vertrauenswürdige Daten deserialisiert werden. Ein nicht authentifizierter Angreifer kann dies ohne Anmeldung über das Netzwerk ausnutzen, was eine Manipulation der serverseitigen Verarbeitung und potenziell schädliche Aktionen auf dem Webserver ermöglichen kann. Ob ein Angriff gelingt, hängt von den installierten Plugins und Bibliotheken ab, was nicht überprüft werden konnte.
Eyal Fitoussi · GEO my WordPress
