CVE-2026-10035
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka Turnkey bbPress by WeaverTheme dla WordPressa do wersji 1.7.1 włącznie jest podatna na PHP Object Injection przez deserializację niezaufanych danych w funkcji wvrbbp_set_to_serialized_values(). Funkcja odczytuje surową zawartość pliku przesłanego przez administratora i przekazuje ją bezpośrednio do unserialize() bez walidacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyżej wstrzyknięcie obiektu PHP.
Ocena ryzyka
Jeśli w systemie istnieje łańcuch POP (np. z innej wtyczki), atakujący może usunąć dowolne pliki, wyciągnąć wrażliwe dane lub wykonać kod, co może prowadzić do pełnej kompromitacji serwera.
Rekomendacja
Zaktualizuj wtyczkę Turnkey bbPress do najnowszej wersji. Ogranicz dostęp administracyjny tylko do zaufanych osób i regularnie audytuj zainstalowane wtyczki pod kątem łańcuchów POP.
Oryginalny opis (angielski, źródło NVD)
The Turnkey bbPress by WeaverTheme plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.7.1 via deserialization of untrusted input in the wvrbbp_set_to_serialized_values() function (reached through the wvrbbp_save_restore() settings-restore handler). The function reads the raw contents of an administrator-uploaded file and passes them directly to unserialize() without any validation. This makes it possible for authenticated attackers, with administrator-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable plugin itself; however, if a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.