CVE-2021-32630
Açıklama
Admidio, organizasyon ve grup web siteleri için ücretsiz, açık kaynaklı bir kullanıcı yönetim sistemidir. Admidio'nun 4.0.4 sürümünden önceki versiyonlarında, .phar dosyası yükleme yoluyla kimlik doğrulamalı bir RCE bulunmaktadır. Belgeler ve Dosyalar yükleme özelliği aracılığıyla bir php web shell yüklenebilir. Yükleme izinlerine sahip bir kişi, php shell dosyasını .phar uzantısıyla yeniden adlandırıp dosyayı ziyaret ederek reverse/bind shell için payload'u tetikleyebilir. Bu durum, (.php, .phtml, .php5 vb. ile yapıldığı gibi) .phar dosya uzantısının yüklenmesinin engellenmesiyle hafifletilebilir. Güvenlik açığı 4.0.4 sürümünde giderilmiştir.
Nasıl düzeltilir
- admidio admidio4.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| admidio admidio | v < 4.0.4 | 4.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.