CVE-2024-52434

RCE przez deserializację niezaufanych danych w Popup by Supsystic (WordPress)

CVSS 9.1v3.1pub. 2024-11-18upd. 2026-04-23

Wtyczka Popup by Supsystic dla WordPress w wersji do 1.10.29 włącznie zawiera krytyczną podatność deserializacji niezaufanych danych umożliwiającą zdalne wykonanie kodu (RCE). Podatność jest szczególnie niebezpieczna, ponieważ pozwala atakującemu na przejęcie kontroli nad serwerem hostującym witrynę.

▸ Pokaż oryginał (EN)

Deserialization of Untrusted Data vulnerability in supsystic Popup by Supsystic popup-by-supsystic allows Command Injection.This issue affects Popup by Supsystic: from n/a through <= 1.10.29.

🤖 Analiza AI

Jak działa

Podatność polega na niebezpiecznej deserializacji danych wejściowych bez ich odpowiedniej walidacji (CWE-94, CWE-82). Atakujący z uprawnieniami administratora może dostarczyć specjalnie spreparowany, złośliwy obiekt serializowany, który podczas przetwarzania przez wtyczkę prowadzi do wykonania arbitralnych poleceń systemowych (command injection). Mimo że wymagane są uprawnienia wysokiego poziomu (PR:H), zakres podatności wykracza poza samą aplikację (Scope: Changed), co oznacza możliwość wpływu na cały system serwerowy.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu na serwerze (RCE), a także na pełne naruszenie poufności, integralności i dostępności systemu, potencjalnie prowadząc do całkowitego przejęcia serwera.

Mitygacja

Należy niezwłocznie zaktualizować wtyczkę Popup by Supsystic do wersji wyższej niż 1.10.29. Szczegółowe informacje o dostępnych łatach znajdują się w referencjach producenta oraz w bazie Patchstack. Do czasu aktualizacji zaleca się dezaktywację wtyczki.

Kogo dotyczy

Wtyczka Popup by Supsystic (popup-by-supsystic) dla WordPress w wersjach od początku istnienia do 1.10.29 włącznie

Uwagi

Podatność została zgłoszona i opublikowana przez Patchstack. Pomimo wysokich wymaganych uprawnień (administrator WordPress), ocena CVSS wynosi 9.1 (CRITICAL) ze względu na zmianę zakresu (Scope Changed) i pełny wpływ na poufność, integralność oraz dostępność systemu.