CVE-2021-41950

ResourceSpace, versões 9.6 a 9.6 rev 18277

Uma vulnerabilidade de traversal de diretório permite que invasores remotos não autenticados excluam arquivos arbitrários no servidor por meio dos parâmetros provider e variant em “pages/ajax/tiles.php”. Os invasores podem excluir arquivos de configuração ou de código-fonte, fazendo com que o aplicativo fique indisponível para todos os usuários.

Para as versões 9.6 a 9.6 rev 18277, atualize para uma versão posterior à 9.6 rev 18277 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “pages/ajax/tiles.php” para minimizar o risco de exploração. Evite usar os parâmetros provider e variant no endpoint afetado até que o problema seja resolvido.