PT-2022-15803
CVE-2022-23043
·
Publicado
2022-02-22
·
Atualizado
2022-03-03
Descrição por
CVSS 3.1
7.2
AltaMétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Zenario CMS versão 9.2
Descrição
A vulnerabilidade permite que um usuário administrador autenticado contorne as restrições de upload de arquivos. Ao criar um novo “Tipo de Arquivo/MIME” usando a extensão “.phar”, um invasor pode então fazer o upload de um arquivo malicioso. O invasor pode interceptar a solicitação e alterar a extensão para “.phar”, permitindo-lhe executar comandos no servidor.
Recomendações
Para o Zenario CMS versão 9.2, considere restringir a capacidade de criar novos “Tipos de Arquivo/MIME” ou limitar o uso da extensão “.phar” para impedir uploads de arquivos maliciosos. Como solução temporária, restrinja o acesso ao recurso de upload de arquivos para usuários administradores autenticados até que uma correção adequada seja aplicada.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾