CVE-2020-8639

TestLink versão 1.9.20

A vulnerabilidade permite que invasores remotos executem código arbitrário ao enviar um arquivo com extensão executável para um diretório da aplicação acessível ao público. Isso é possibilitado por uma vulnerabilidade de envio irrestrito de arquivos no arquivo keywordsImport.php. Um invasor autenticado pode enviar um arquivo malicioso contendo código PHP para executar comandos do sistema operacional.

Para a versão 1.9.20 do TestLink, considere restringir o acesso ao arquivo keywordsImport.php para impedir o envio de arquivos maliciosos até que uma correção esteja disponível. Como solução alternativa temporária, restrinja os tipos de arquivos que podem ser enviados para impedir o envio de arquivos executáveis.