Zcms · Zcms · CVE-2022-28521
**Nome do software vulnerável e versões afetadas**
ZCMS versão v20170206
**Descrição**
Foi descoberta uma falha de inclusão de arquivo no ZCMS, que pode ser explorada por meio do endpoint “index.php” com parâmetros específicos, incluindo `m`, `c` e `a`. A vulnerabilidade é acionada quando um invasor manipula o parâmetro `a`, definido como `sp set config`, permitindo a inclusão de arquivos maliciosos.
**Recomendações**
Para a versão v20170206 do ZCMS, como solução temporária, considere restringir o acesso ao endpoint “index.php” com os parâmetros `m=home`, `c=home` e `a=sp set config` até que um patch esteja disponível. Evite usar o parâmetro `a` com o valor `sp set config` no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.