Zoho Flow WordPress-Plugin: Nicht authentifizierte PHP Object Injection
Das Zoho-Flow-Plugin für WordPress bis einschliesslich Version 2.14.5 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte serialisierte Daten an eine betroffene Website sendet, kann die Datenverarbeitung manipulieren, was je nach den auf der Website verfügbaren PHP-Klassen zu schädlichen Aktionen auf dem Server führen kann. Zum Zeitpunkt der Recherche wurde kein offizieller Patch bestätigt und die korrigierte Version ist unbekannt.
Zoho · Flow WordPress plugin
