PT-2025-31985 · Narcissus · Narcissus
CVE-2012-10033
·
Publicado
2025-08-05
·
Atualizado
2025-08-05
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Narcissus (versões afetadas não especificadas)
Descrição
O Narcissus é vulnerável à execução remota de código devido ao tratamento inadequado de entrada em seu fluxo de trabalho de configuração de imagem. O script
backend.php falha em sanitizar o parâmetro release antes de passá-lo para a função configure image(). Esta função invoca a função passthru() do PHP com a entrada não sanitizada, permitindo que atacantes injetem comandos de sistema arbitrários. A exploração ocorre por meio de uma requisição POST manipulada, resultando na execução de comandos no contexto do servidor web.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
RCE
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Narcissus