PT-2022-28094
CVE-2022-47945
·
Publicado
2022-12-23
·
Atualizado
2026-10-08
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do ThinkPHP Framework anteriores à 6.0.14
Descrição
A vulnerabilidade permite a inclusão de arquivos locais por meio do parâmetro
lang quando o recurso de pacote de idiomas está habilitado (lang switch on=true). Um invasor remoto e não autenticado pode explorar essa vulnerabilidade para executar comandos arbitrários do sistema operacional, conforme demonstrado pela inclusão do arquivo pearcmd.php. Mais de 572 endereços IP lançaram ataques, com picos recentes nas tentativas de exploração.Recomendações
Para versões do ThinkPHP Framework anteriores à 6.0.14, considere desativar o recurso de pacote de idiomas definindo
lang switch on=false até que um patch esteja disponível. Restrinja o acesso ao parâmetro lang para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾