CVE-2022-28521

ZCMS versão v20170206

Foi descoberta uma falha de inclusão de arquivo no ZCMS, que pode ser explorada por meio do endpoint “index.php” com parâmetros específicos, incluindo m, c e a. A vulnerabilidade é acionada quando um invasor manipula o parâmetro a, definido como sp set config, permitindo a inclusão de arquivos maliciosos.

Para a versão v20170206 do ZCMS, como solução temporária, considere restringir o acesso ao endpoint “index.php” com os parâmetros m=home, c=home e a=sp set config até que um patch esteja disponível. Evite usar o parâmetro a com o valor sp set config no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.