PT-2026-109657 · Spotweb · Spotweb
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Spotweb versões anteriores a 1.5.9
Description
Um problema de injeção de comando de SO existe no manipulador NZB runcommand. Atacantes remotos podem executar comandos arbitrários publicando spots via Usenet com títulos maliciosos contendo metacaracteres de shell. Esses caracteres são substituídos sem escape para a variável
$SPOTTITLE e passados para a função exec() quando um usuário baixa o spot, resultando na execução de comandos com os privilégios do processo PHP do Spotweb.Recommendations
Atualize o Spotweb para uma versão posterior à 1.5.8.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Spotweb