CVE-2021-33199

Versões do Expression Engine anteriores à 6.0.3

A vulnerabilidade existe devido à validação insuficiente de entradas no Expression Engine. Isso permite que um invasor remoto comprometa a confidencialidade, integridade e disponibilidade de informações protegidas. O addonIcon em Addons/file/mod.file.php depende do valor de entrada não confiável de input->get(‘file’) em vez dos nomes de arquivo fixos icon.png e icon.svg.

Para versões anteriores à 6.0.3, atualize para a versão 6.0.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao módulo mod.file.php para minimizar o risco de exploração. Evite usar a variável input->get(‘file’) no endpoint da API afetado até que o problema seja resolvido.