CVE-2024-52393

RCE przez deserializację niezaufanych danych w Podlove Podcast Publisher

CVSS 9.1v3.1pub. 2024-11-14upd. 2026-04-23

Wtyczka Podlove Podcast Publisher dla WordPress w wersjach do 4.1.15 włącznie zawiera krytyczną podatność deserializacji niezaufanych danych umożliwiającą zdalne wykonanie kodu (RCE). Mimo że exploitation wymaga uprawnień administratora, zasięg ataku wykracza poza atakowany system (S:C), co czyni tę podatność szczególnie niebezpieczną w środowiskach wielodostępnych.

▸ Pokaż oryginał (EN)

Deserialization of Untrusted Data vulnerability in Eric Teubert Podlove Podcast Publisher podlove-podcasting-plugin-for-wordpress.This issue affects Podlove Podcast Publisher: from n/a through <= 4.1.15.

🤖 Analiza AI

Jak działa

Podatność wynika z niebezpiecznego przetwarzania (deserializacji) danych wejściowych bez odpowiedniej weryfikacji ich pochodzenia i zawartości (CWE-94, CWE-82). Atakujący z uprawnieniami administratora może przesłać specjalnie spreparowany, złośliwy obiekt, który podczas deserializacji po stronie serwera prowadzi do wykonania arbitralnego kodu PHP. Mechanizm ten pozwala na wyjście poza kontekst aplikacji i wpłynięcie na zasoby systemu hosta.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu na serwerze (RCE), a w konsekwencji na pełne przejęcie kontroli nad środowiskiem — w tym uzyskanie dostępu do poufnych danych, modyfikację plików oraz potencjalny lateral movement w infrastrukturze.

Mitygacja

Należy natychmiast zaktualizować wtyczkę Podlove Podcast Publisher do wersji wyższej niż 4.1.15. Patche dostępne są w repozytorium WordPress oraz u producenta zgodnie z referencjami (Patchstack). Dodatkowo zaleca się stosowanie zasady minimalnych uprawnień oraz monitorowanie aktywności kont administratorskich.

Kogo dotyczy

Wtyczka Podlove Podcast Publisher (podlove-podcasting-plugin-for-wordpress) w wersjach od początku do 4.1.15 włącznie, działająca na platformie WordPress.

Uwagi

Podatność została ujawniona i opisana przez Patchstack. Exploitation wymaga posiadania uprawnień administratora WordPress (PR:H), co ogranicza powierzchnię ataku, jednak wektor sieciowy bez interakcji użytkownika (AV:N, UI:N) oraz zasięg wykraczający poza atakowany komponent (S:C) uzasadniają ocenę CVSS 9.1.