PT-2021-23761
CVE-2021-43176
·
Publicado
2021-12-07
·
Atualizado
2021-12-09
Descrição por
CVSS 3.1
8.8
AltaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do GOautodial anteriores ao commit 3c3a979
Descrição
A vulnerabilidade permite que um invasor execute qualquer arquivo-fonte PHP com extensão .php que esteja presente no disco e seja legível pelo processo do servidor web GOautodial. Isso é possível porque o parâmetro
action não é sanitizado, permitindo a execução de arquivos PHP arbitrários.Recomendações
Para versões anteriores ao commit 3c3a979, atualize para uma versão que inclua o commit 3c3a979 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a arquivos PHP confidenciais para minimizar o risco de exploração.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾