PT-2020-15586
CVE-2020-23828
·
Publicado
2020-09-15
·
Atualizado
2020-09-21
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
SourceCodester Online Course Registration versão 1.0
Descrição
Uma falha no envio de arquivos permite que invasores remotos consigam executar código remotamente (RCE) no servidor web de hospedagem, enviando um web-shell PHP malicioso que contorna os filtros de envio de imagens. Um ataque utiliza o endpoint “my-profile.php” com o parâmetro
photo.Recomendações
Para a versão 1.0, considere desativar o recurso de upload de arquivos ou restringir os tipos de arquivos que podem ser enviados para evitar a exploração até que uma correção esteja disponível. Restrinja o acesso ao endpoint “my-profile.php” para minimizar o risco de exploração. Evite usar o parâmetro
photo no endpoint afetado até que o problema seja resolvido.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾