PT-2020-6508

CVE-2020-8644

Publicado

2020-02-05

Atualizado

2025-11-07

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do PlaySMS anteriores à 1.4.3

Descrição

O problema está relacionado à sanitização insuficiente de elementos especiais em uma string, o que pode ser explorado por um invasor remoto para executar código arbitrário. Trata-se de uma vulnerabilidade de injeção de modelo no lado do servidor na interface web do PlaySMS para gateways e serviços de SMS.

Recomendações

Para versões do PlaySMS anteriores à 1.4.3, atualize para a versão 1.4.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função compile() em src/Playsms/Tpl.php até que um patch esteja disponível. Evite usar entradas não sanitizadas de strings maliciosas nos endpoints da API afetados até que o problema seja resolvido.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

Identificadores relacionados

CVE-2020-8644