CVE-2025-32927

PHP Object Injection w pluginie WordPress FoodBakery (do wersji 3.3)

CVSS 9.8v3.1pub. 2025-05-19upd. 2026-04-23

Krytyczna podatność deserializacji niezaufanych danych w pluginie FoodBakery dla WordPress umożliwia atakującemu wstrzyknięcie obiektów PHP (Object Injection). Ze względu na brak wymagań dotyczących uwierzytelnienia oraz sieciowy wektor ataku, podatność stwarza poważne ryzyko dla wszystkich witryn korzystających z tego pluginu.

▸ Pokaż oryginał (EN)

Deserialization of Untrusted Data vulnerability in Chimpstudio FoodBakery wp-foodbakery allows Object Injection.This issue affects FoodBakery: from n/a through <= 3.3.

🤖 Analiza AI

Jak działa

Podatność (CWE-502) wynika z nieprawidłowej deserializacji danych dostarczonych przez użytkownika. Atakujący może spreparować złośliwy payload i przesłać go do podatnego punktu wejścia pluginu, co skutkuje wstrzyknięciem i wykonaniem obiektu PHP po stronie serwera. Jeśli w aplikacji lub zainstalowanych komponentach istnieją odpowiednie łańcuchy gadgetów (POP chains), możliwe jest eskalowanie ataku do wykonania dowolnego kodu lub innych krytycznych operacji.

Skutki

Atakujący bez żadnego uwierzytelnienia może potencjalnie uzyskać pełną kontrolę nad serwerem, w tym możliwość odczytu i modyfikacji danych, usunięcia plików lub wykonania dowolnego kodu (RCE), w zależności od dostępnych łańcuchów gadgetów.

Mitygacja

Należy niezwłocznie zaktualizować plugin FoodBakery do wersji wyższej niż 3.3. Jeśli aktualizacja nie jest dostępna, należy dezaktywować i usunąć plugin do czasu wydania patcha. Szczegóły dotyczące poprawki są dostępne w bazie Patchstack pod adresem wskazanym w referencjach.