PT-2022-11556
CVE-2021-42194
·
Publicado
2022-03-20
·
Atualizado
2022-03-29
Descrição por
CVSS 3.1
7.2
AltaMétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
EyouCms versão 1.5.4-UTF8-SP3
Descrição
O problema decorre da função
wechat return em /controller/Index.php, que passa a entrada do usuário diretamente para a função simplexml load string sem proibir entidades externas. Isso desencadeia um problema de injeção de entidade externa XML (XXE).Recomendações
Para a versão 1.5.4-UTF8-SP3 do EyouCms, considere modificar a função
wechat return para sanitizar adequadamente a entrada do usuário antes de passá-la para a função simplexml load string, ou aplique alterações de configuração para proibir entidades externas.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾