漏洞名称：WordPress GiveWP 插件 /admin-ajax.php 命令执行漏洞（CVE-2024-8353）
English Name：GiveWP WordPress Plugin /admin-ajax.php Command Execution Vulnerability (CVE-2024-8353)
CVSS core: 9.0
漏洞描述：
GiveWP 是一个非常受欢迎的 WordPress 插件，专门用于非营利组织和个人接受在线捐款。
WordPress中的GiveWP捐款插件和募款平台插件存在PHP对象注入漏洞，影响所有版本至包括（含）3.16.1版本。该漏洞通过反序列化不可信输入的几个参数（如’give_title’和’card_address’）产生。这使得未经身份验证的攻击者可以注入PHP对象。另外，存在POP链使得攻击者可以删除任意文件并实现远程代码执行。
FOFA自检语句：
body=“/wp-content/plugins/give/” && body=“wp-includes”
受影响资产数量: 48,042
受影响版本:
影响所有版本至包括（含）3.16.1版本
解决方案：
1、通过防火墙等安全设备设置访问策略，设置白名单访问。
2、如非必要，禁止公网访问该系统。
漏洞检测工具：
【Goby】-资产绘测及实战化漏洞扫描工具，实战漏洞验证效果如图所示：
了解Goby
Goby预置了最具实战化效果的漏洞引擎，覆盖Weblogic，Tomcat等最严重漏洞。Goby也提供了可以自定义的漏洞检查框架，发动了互联网的大量安全从业者贡献POC，保证持续的应急响应能力，目前已收录1900+POC。