PT-2022-12504

CVE-2021-46013

·

Publicado

2022-01-18

·

Atualizado

2022-01-24

Descrição por

CVSS 3.1
9.8
Crítica
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Sourcecodester – Software gratuito de gestão escolar, versão 1.0
Descrição
Existe uma vulnerabilidade relacionada ao upload irrestrito de arquivos, permitindo que um invasor execute código remotamente no servidor web afetado. Isso pode ser feito através do upload de um webshell PHP contendo “”, que é salvo no diretório /uploads/exam question/ e fica acessível a todos os usuários.
Recomendações
Para o software de gestão escolar Sourcecodester Free versão 1.0, considere restringir ou desativar o upload de arquivos até que uma correção esteja disponível para impedir a execução remota de código. Como solução temporária, restrinja o acesso ao diretório /uploads/exam question/ para minimizar o risco de exploração. Evite usar a variável cmd no código PHP afetado até que a vulnerabilidade seja resolvida.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-434: Unrestricted Upload of File with Dangerous Type
Identificadores relacionados
CVE-2021-46013
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com