CVE-2021-42897

FeMiner wms versão V1.0

Foi encontrada uma vulnerabilidade de execução remota de comandos no FeMiner wms. A vulnerabilidade está localizada em /wms/src/system/datarec.php, onde a variável r name da solicitação $ POST é passada diretamente para $mysqlstr e executada pela função exec(). Isso permite a potencial execução remota de comandos.

Para o FeMiner wms versão V1.0, considere desativar a função exec() no arquivo /wms/src/system/datarec.php até que um patch esteja disponível. Além disso, restrinja o acesso ao arquivo datarec.php para minimizar o risco de exploração. Evite usar a variável r name no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.