Social Media Share Buttons (WordPress): PHP Object Injection

Beschreibung

Das WordPress-Plugin Social Media Share Buttons ist in allen Versionen bis einschliesslich 2.1.0 für PHP Object Injection anfällig, da nicht vertrauenswürdige Eingaben über den Parameter attachmentUrl deserialisiert werden. Authentifizierte Angreifer ab Subscriber-Rechten können damit ein PHP-Objekt einschleusen; ist über ein weiteres Plugin oder Theme eine POP-Kette vorhanden, sind das Löschen beliebiger Dateien, das Auslesen sensibler Daten oder Codeausführung möglich. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine Version oberhalb von 2.1.0 aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Plex Media Server

• Plex Media Server – Remote Code Execution KEV CVE-2020-5741
• Google Chrome Media Use-After-Free Vulnerability KEV CVE-2020-6572
• Apache Struts – Deserialization of Untrusted Data KEV CVE-2017-9805
• CVE-2018-13415 – Plex Media Server Sicherheitslücke CVE-2018-13415
• CVE-2021-33959 – Sicherheitslücke in Plex Media Server CVE-2021-33959
• social-media-skeleton: SQL-Injection führt zu Remote-Code-Ausführung CVE-2023-39344