CVE-2020-28032

WordPress — niebezpieczna deserializacja w FilteredIterator

CVSS 9.8v3.1pub. 2020-11-02upd. 2024-11-21

WordPress w wersjach przed 5.5.2 nieprawidłowo obsługuje żądania deserializacji w pliku wp-includes/Requests/Utility/FilteredIterator.php. Podatność ma krytyczny poziom CVSS 9.8 i może być wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

WordPress before 5.5.2 mishandles deserialization requests in wp-includes/Requests/Utility/FilteredIterator.php.

🤖 Analiza AI

Jak działa

Błąd polega na niebezpiecznym przetwarzaniu (CWE-502 — deserialization of untrusted data) danych wejściowych w klasie FilteredIterator. Atakujący może przesłać specjalnie spreparowany, zserializowany obiekt PHP, który zostanie zdekodowany i wykonany po stronie serwera bez odpowiedniej walidacji. Wbudowany mechanizm filtrowania danych w tej ścieżce kodu nie chroni skutecznie przed złośliwymi payloadami deserializacji.

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na pełne przejęcie kontroli nad serwerem — w tym odczyt i modyfikację danych, a także wykonanie dowolnego kodu (RCE) w kontekście procesu serwera WWW.

Mitygacja

Należy zaktualizować WordPress do wersji 5.5.2 lub nowszej. Użytkownicy dystrybucji Debian i Fedora powinni zastosować patche dostępne w repozytoriach systemowych zgodnie z opublikowanymi komunikatami bezpieczeństwa.

Kogo dotyczy

WordPress przed wersją 5.5.2, a także powiązane pakiety w dystrybucjach Debian Linux oraz Fedora (szczegółowe wersje wskazane w referencjach producenta).