PT-2022-3279

CVE-2022-31086

Publicado

2022-06-16

Atualizado

2022-07-15

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do LDAP Account Manager anteriores à 8.0

Descrição

O problema decorre de expressões regulares incorretas no LDAP Account Manager, permitindo o upload de scripts PHP para o diretório /config/templates/pdf/. Isso poderia levar à execução remota de código caso o diretório fosse acessível a usuários remotos, o que não é a configuração padrão. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há relatos de incidentes reais em que essa vulnerabilidade tenha sido explorada. A vulnerabilidade está relacionada ao upload de scripts PHP para o diretório /config/templates/pdf/, que pode ser acessado remotamente se não estiver configurado corretamente.

Recomendações

Para versões anteriores à 8.0, atualize para a versão 8.0 para resolver o problema.

Como solução temporária, considere restringir o acesso ao diretório /config/templates/pdf/ para impedir que usuários remotos enviem scripts PHP.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')