PT-2022-8724

CVE-2020-26008

·

Publicado

2022-03-20

·

Atualizado

2022-03-28

Descrição por

CVSS 3.1
7.8
Alta
MétricasAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
ShopXO versão 1.9.0
Descrição
O problema diz respeito a uma vulnerabilidade de upload arbitrário de arquivos na função PluginsUpload, localizada em application/service/PluginsAdminService.php. Essa vulnerabilidade permite que invasores executem código arbitrário ao fazer o upload de um arquivo PHP malicioso.
Recomendações
Para o ShopXO versão 1.9.0, considere desativar a função PluginsUpload em application/service/PluginsAdminService.php até que um patch esteja disponível para impedir uploads arbitrários de arquivos. Restrinja o acesso à função vulnerável para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-434: Unrestricted Upload of File with Dangerous Type
Identificadores relacionados
CVE-2020-26008
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com