GiveWP Donation Plugin <= 3.16.1 - Unauthenticated PHP Object Injection

The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.16.1. This is due to insufficient input validation on user-supplied data. An unauthenticated attacker can inject a serialized PHP object, which...

GiveWP - PHP Object Injection

The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.14.1 via deserialization of untrusted input from the 'givetitle' parameter. id: CVE-2024-5932 info: name: GiveWP - PHP Object Injection author:...

CVE-2026-9691

CVE-2026-9691 CVE-2026-9691: ActiveCampaign 및 Contact Form 7, WPForms, Elementor, Ninja Forms를 위한 통합 = 1.1.1 인증되지 않은 PHP 객체 인젝션 PoC, 패치 분석 및 & 규칙...

CVE-2024-52433

CVE-2024-52433 My Geo Posts Free = 1.2 - 인증되지 않은 PHP 객체 주입 설명 WordPress용 My Geo Posts Free 플러그인은 버전 1.2 이하에서 신뢰할 수 없는 입력의 역직렬화로 인해 PHP 객체 주입에 취약합니다. 이로 인해 인증되지 않은 공격자가 PHP 객체를 주입할 수 있습니다. 취약한 소프트웨어에는 알려진 POP 체인이 존재하지 않습니다. 대상 시스템에 설치된 추가 플러그인이나 테마를 통해 POP 체인이 존재하는 경우, 공격자가 임의 파일을 삭제하거나, 민감한 데이터를...

CVE-2024-12877-Exploit

GO-TO CVE – CVE-2024-12877-Exploit 66주차 | 작성자: Ali Soltani soltanali0 GO-TO CVE 시리즈의 66주차 에 오신 것을 환영합니다. 이 시리즈에서는 취약점을 분석하고, 근본 원인을 파악하며, 안전한 교육적 맥락에서 실용적인 익스플로잇 기술을 시연합니다. 🚨 개요 CVE-2024-12877 는 가장 널리 사용되는 WordPress 기부 플러그인 중 하나인 GiveWP 에서 발견된 PHP 객체 주입 취약점입니다. 사용자 제어 입력에 대한 unserialize의 안전하지 않은...

CVE-2025-49113

Python Script for CVE-2025-49113 사용법: python exploit.py https://ubuntu.com/security/CVE-2025-49113 설명: Roundcube Webmail 1.5.10 미만 및 1.6.x 1.6.11 미만 버전에서는 인증된 사용자가 URL의 from 매개변수가 program/actions/settings/upload.php에서 검증되지 않아 원격 코드 실행이 가능하며, 이로 인해 PHP 객체 역직렬화가 발생합니다...

WordPress VK Google Job Posting Manager plugin <= 1.3.1 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin VK Google Job Posting Manager versions = 1.3.1...

WordPress WP Spell Check plugin <= 12.1 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin WP Spell Check versions = 12.1...

WordPress Simple Event Planner plugin <= 1.5.7 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin Simple Event Planner versions = 1.5.7...

WordPress Sunshine Photo Cart plugin <= 3.7.1 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin Sunshine Photo Cart versions = 3.7.1...

WordPress WP Ultimate Exporter plugin <= 3.0 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin WP Ultimate Exporter versions = 3.0...

WordPress Product Feed PRO for WooCommerce plugin <= 13.5.7 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin Product Feed PRO for WooCommerce versions = 13.5.7...

WordPress Pay with Vipps for WooCommerce plugin <= 6.2.0 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Ananda Dhakal Patchstack in WordPress Plugin Pay with Vipps for WooCommerce versions = 6.2.0...

WordPress Advanced Post Manager plugin <= 4.5.5 - PHP Object Injection vulnerability

PHP Object Injection vulnerability discovered by Peter Tang in WordPress Plugin Advanced Post Manager versions = 4.5.5...

HTTP-Request-for-PHP-object-injection-attack-on-CVE-2023-41892

이러한 유형의 공격은 PHP 애플리케이션의 역직렬화 프로세스를 악용하여 임의 코드를 실행하거나 서버에서 의도하지 않은 작업을 수행하려고 시도합니다. 완화 전략 PHP 객체 주입 및 유사한 공격으로부터 방어하려면 다음 전략을 고려하세요: PHP 객체 역직렬화 비활성화: 사용자 제어 입력에 대해 unserialize 사용을 피하세요. 이는 본질적으로 안전하지 않습니다. JSON 직렬화 사용: 데이터 구조를 교환할 때 PHP 직렬화 대신 JSON 인코딩/디코딩jsonencode/jsondecode을 사용하세요. 입력 정제 및 검증:...

CVE-2024-52430

CVE-2024-52430 Lis Video Gallery = 0.2.1 - 인증되지 않은 PHP 객체 주입 설명 Lis Video Gallery WordPress 플러그인은 버전 0.2.1까지포함 신뢰할 수 없는 입력의 역직렬화를 통해 PHP 객체 주입 취약점에 노출됩니다. 이로 인해 인증되지 않은 공격자가 PHP 객체를 주입할 수 있습니다. 취약한 소프트웨어에는 알려진 POP 체인이 존재하지 않습니다. 대상 시스템에 추가 플러그인이나 테마를 통해 POP 체인이 존재하는 경우, 공격자는 임의의 파일을 삭제하거나 민감한 데이터...

CVE-2024-50507

CVE-2024-50507 DS.DownloadList = 1.3 - 인증되지 않은 PHP 객체 인젝션 설명 WordPress용 DS.DownloadList 플러그인은 버전 1.3까지 포함 모든 버전에서 신뢰할 수 없는 입력의 역직렬화를 통해 PHP 객체 인젝션에 취약합니다. 이로 인해 인증되지 않은 공격자가 PHP 객체를 주입할 수 있습니다. 취약한 소프트웨어에는 알려진 POP 체인이 존재하지 않습니다. 대상 시스템에 설치된 추가 플러그인이나 테마를 통해 POP 체인이 존재하는 경우, 공격자가 임의 파일을 삭제하거나, 민감한...

CVE-2024-56058

CVE-2024-56058 VRPConnector = 2.0.1 - 인증되지 않은 PHP 객체 주입 설명 VRPConnector WordPress 플러그인은 버전 2.0.1까지 포함 신뢰할 수 없는 입력의 역직렬화를 통해 PHP 객체 주입에 취약합니다. 이로 인해 인증되지 않은 공격자가 PHP 객체를 주입할 수 있습니다. 취약한 소프트웨어에는 알려진 POP 체인이 존재하지 않습니다. 대상 시스템에 설치된 추가 플러그인이나 테마를 통해 POP 체인이 존재할 경우, 공격자는 임의의 파일을 삭제하거나, 민감한 데이터를 검색하거나,...

givewp-cve-2026-82222-rce-lab

CVE-2026-82222 — GiveWP 마커 전용 RCE 검증 랩 격리된 Docker 랩에서 CVE-2026-82222을 재현하고 검증하기 위한 보안 연구 자료입니다. 직접 RCE PoC 및 URL 스캔은CVE-2026-8222-RCE.py를 사용하세요 판정 상태: 제공된 랩에서 입증됨 GiveWP 4.16.5.1은 초기에 인증되지 않은 공격자가 PHP 객체 그래프를 영속화하고, GiveWP 세션 처리를 통해 이를 부활시킨 다음, WordPress 웹 서버 사용자 권한으로 고정된 마커 명령을 실행할 수 있도록 허용합니다. ...

CVE-2026-65883

CVE-2026-65883 — Aimy Captcha-Less Form Guard get'clfgd', '', 'RAW' $cld = @unserialize XorHelper::crypt base64decode$clfgd, self::getXorKey ; XOR "암호화"는 세션별...