PT-2022-15907
CVE-2022-23227
·
Publicado
2022-01-12
·
Atualizado
2025-03-13
Descrição por
CVSS 3.1
10
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
NUUO NVRmini2 versões 3.11 e anteriores
Descrição
A vulnerabilidade permite que um invasor não autenticado faça o upload de um arquivo TAR criptografado. Isso pode ser explorado para adicionar usuários arbitrários devido à falta de autenticação no arquivo handle import user.php. Quando combinada com outra falha, é possível sobrescrever arquivos arbitrários na raiz da web e executar código como root.
Recomendações
Para as versões 3.11 e anteriores do NUUO NVRmini2, como solução temporária, considere desativar a funcionalidade handle import user.php até que um patch esteja disponível. Restrinja o acesso à raiz da web para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾