Vulnerabilidad en Contact Form Plugin by Fluent Forms for Quiz, Survey, and Drag & Drop WP Form Builder para WordPress (CVE-2024-4157)

El complemento Contact Form Plugin by Fluent Forms for Quiz, Survey, and Drag & Drop WP Form Builder para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 5.1.15 incluida a través de la deserialización de entradas que no son de confianza en la función extractDynamicValues. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten un objeto PHP. Si hay una cadena POP presente a través de un complemento o tema adicional instalado en el sistema de destino, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código. La explotación exitosa requiere que el atacante tenga los permisos "Ver formulario" y "Administrar formulario", que deben ser establecidos explícitamente por un administrador. Sin embargo, este requisito se puede eludir cuando esta vulnerabilidad se encadena con CVE-2024-2771.