CVE-2024-7435
Publiée le 2024-08-31 · Dernière modification le 2026-06-17
Les sites WordPress utilisant le thème Attire (version 2.0.6 et antérieures) sont vulnérables à l'injection d'objets PHP. Un attaquant disposant d'un accès avec un compte de niveau « Contributeur » ou supérieur peut exploiter cette faille via le réseau, sans aucune interaction de l'utilisateur. Bien que le thème lui-même ne présente pas de chemin d'exploitation connu, si d'autres extensions ou thèmes installés fournissent une « chaîne POP », un attaquant pourrait potentiellement supprimer des fichiers, voler des données sensibles ou exécuter du code arbitraire sur votre serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Attire theme for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 2.0.6 via deserialization of untrusted input. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.