Плагин Visitor Logic Lite для WordPress уязвим для инъекций объектов PHP во всех версиях до 1.0.3 через дезериаизацию ненадежного ввода из …

Плагин Visitor Logic Lite для WordPress уязвим для инъекций объектов PHP во всех версиях до 1.0.3 через дезериаизацию ненадежного ввода из файла cookie `lpblocks`. Это связано с функцией `lp_track()` передачи несанцинизированных данных cookie непосредственно в функцию «unserialize()`. Это позволяет неаутентифицированным злоумышленникам вводить PHP-объект. Никакая известная сеть POP не присутствует в уязвимом программном обеспечении. Если цепочка POP присутствует через дополнительный плагин или тему, установленную в целевой системе, это может позволить злоумышленнику удалять произвольные файлы, извлекать конфиденциальные данные или выполнять код, если они могут получить доступ к сайту WordPress.