The joomsport_md_load AJAX action of the JoomSport WordPress plugin before 5.1.8, registered for both unauthenticated and unauthenticated users, unserialised user input from the shattr POST parameter, leading to a PHP Object Injection issue. Even though the plugin does not have a suitable gadget chain to exploit this, other installed plugins could, which might lead to more severe issues such as RCE
La acción AJAX joomsport_md_load del plugin JoomSport de WordPress versiones anteriores a 5.1.8, registrada tanto para usuarios no autenticados como para usuarios no autenticados, no serializaba la entrada del usuario desde el parámetro shattr POST, conllevando a un problema de inyección de objetos PHP. Aunque el plugin no presenta una cadena de gadgets adecuada para explotar esto, otros plugins instalados podrían, lo que podría conllevar a problemas más graves como RCE
