PT-2021-10255

CVE-2020-18917

·

Publicado

2021-08-24

·

Atualizado

2021-08-30

Descrição por

CVSS 3.1
8.8
Alta
MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
**Nome do software vulnerável e versões afetadas:
DedeCMS versão 5.7 SP2
Descrição:
A vulnerabilidade permite que invasores remotos executem código PHP arbitrário por meio do parâmetro typename no componente plus/search.php. Isso é possível porque o conteúdo do arquivo typename.inc está sob o controle do invasor.
Recomendações:
Para o DedeCMS versão 5.7 SP2, considere restringir o acesso ao componente plus/search.php até que uma correção esteja disponível e evite usar o parâmetro typename neste componente para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-352: Cross-Site Request Forgery (CSRF)
Identificadores relacionados
CVE-2020-18917
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com