The Profile Builder Pro plugin for WordPress is vulnerable to PHP Object Injection in all versions up to and including 3.14.5. This is due to the use of PHP's maybe_unserialize() function on the attacker-controlled 'args' POST parameter within the wppb_request_users_pins_action_callback() AJAX handler, which lacked any nonce verification, type checking, or input validation before deserialization. Because the handler was registered with both wp_ajax_ and wp_ajax_nopriv_ hooks, it was reachable by completely unauthenticated users. This makes it possible for unauthenticated attackers to inject arbitrary PHP objects into application memory.
Profile Builder Pro WordPress plugin versions up to 3.14.5 are vulnerable to PHP Object Injection through an unauthenticated AJAX handler that deserializes untrusted user input without validation. Attackers can inject arbitrary PHP objects to achieve remote code execution on affected WordPress installations.
ثغرة حقن كائنات PHP في مكون Profile Builder Pro تسمح للمهاجمين غير المصرح لهم بحقن كائنات PHP عشوائية عبر معامل POST 'args' في معالج AJAX wppb_request_users_pins_action_callback. المعالج مسجل مع خطافات wp_ajax_ و wp_ajax_nopriv_ مما يجعله متاحاً للمستخدمين غير المصرح لهم تماماً دون التحقق من nonce أو التحقق من صحة المدخلات.
Plugin Profile Builder Pro في WordPress معرض لثغرة حقن كائنات PHP عبر معالج AJAX غير مصرح به يقوم بفك تسلسل مدخلات المستخدم غير الموثوقة. يمكن للمهاجمين حقن كائنات PHP عشوائية لتحقيق تنفيذ أكواد بعيد على تثبيتات WordPress المتأثرة.
Update Profile Builder Pro plugin to version 3.14.6 or later immediately. Implement Web Application Firewall (WAF) rules to block suspicious AJAX requests to wppb_request_users_pins_action_callback. Disable the plugin if immediate patching is not possible. Monitor WordPress logs for exploitation attempts targeting this AJAX handler.
قم بتحديث مكون Profile Builder Pro إلى الإصدار 3.14.6 أو أحدث فوراً. طبق قواعد جدار حماية تطبيقات الويب لحجب طلبات AJAX المريبة. عطل المكون إذا لم يكن التحديث الفوري ممكناً. راقب سجلات WordPress للكشف عن محاولات استغلال هذا المعالج.