Das Plugin GiveWP, mit über 100.000 aktiven Installationen, ist eine weit verbreitete Spenden- und Fundraising-Plattform für WordPress-Websites. In allen Versionen bis einschließlich 3.16.3 besteht eine kritische PHP-Object-Injection-Schwachstelle (CVE-2024-9634), die es Angreifern ermöglicht, bösartige Objekte über den Parameter give_company_name einzuschleusen. Bei Ausnutzung in Verbindung mit einer POP-Kette (Property-Oriented Programming) kann diese Schwachstelle zur Remote Code Execution (RCE) führen. Angesichts der Popularität des Plugins und seiner Verwendung für die Abwicklung sensibler Finanztransaktionen, wie z. B. Spenden, ist das Risiko einer Ausnutzung erheblich. Ein unbefugter Zugriff könnte Spenderdaten gefährden, das Verhalten der Website verändern oder Angreifern sogar administrativen Zugriff gewähren. Aufgrund der nicht authentifizierten Natur des Exploits sind alle Websites, die anfällige Versionen verwenden, unmittelbar gefährdet.

Produkt	WordPress
Datum	21.10.2024 16:46:28
Informationen	Trending Fix verfügbar

Technische Zusammenfassung

CVE-2024-9634 ist eine kritische Schwachstelle, die das WordPress-Plugin GiveWP betrifft. Sie entsteht durch die unsichere Deserialisierung von Benutzereingaben, die es Angreifern ermöglicht, PHP-Objekte über den Parameter give_company_name einzuschleusen. Das Vorhandensein einer POP-Kette kann den Angriff bis zur Remote Code Execution eskalieren, wodurch der Angreifer beliebigen Code auf dem kompromittierten System ausführen kann. Die Schwachstelle betrifft alle Versionen bis einschließlich 3.16.3. Dies macht das Problem besonders gefährlich, da das Plugin nicht nur weit verbreitet ist, sondern auch häufig bei Finanzvorgängen eingesetzt wird, bei denen Vertrauen und Sicherheit von entscheidender Bedeutung sind.

Empfehlungen

Aktualisieren Sie das Plugin GiveWP auf eine Version neuer als 3.16.3, in der diese Schwachstelle behoben wurde.

[Callforaction-THREAT-Footer]