CVE-2021-47667

Nome do Software Vulnerável e Versões Afetadas Versões do ZendTo de 5.24-3 até 6.x anteriores a 6.10-7

Descrição Um problema de injeção de comandos do sistema operacional em lib/NSSDropoff.php permite que atacantes remotos não autenticados executem comandos arbitrários por meio de metacaracteres do shell no parâmetro tmp name ao enviar um arquivo via uma requisição POST "/dropoff".

Recomendações Para as versões 5.24-3 até 6.x anteriores a 6.10-7, atualize para a versão 6.10-7 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao arquivo lib/NSSDropoff.php ou desativar o parâmetro tmp name no endpoint da API afetado até que uma correção esteja disponível.