PT-2020-10356 · Determine · Determine Contract Lifecycle Management

Esteban Rodriguez · Publicado 2020-01-05 · Atualizado 2021-07-21 · CVE-2019-20155

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Determine Contract Lifecycle Management (CLM) versão 5.4

Descrição

Uma falha no arquivo report edit.jsp permite que qualquer usuário autenticado execute código Groovy ao gerar um relatório. Isso resulta na execução de código arbitrário no servidor subjacente.

Recomendações

Para a versão 5.4, considere restringir o acesso à página report edit.jsp até que uma correção esteja disponível e evite gerar relatórios a partir de fontes não confiáveis para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2019-20155

Produtos afetados

Determine Contract Lifecycle Management

Referências · 3

• 🔥 https://n00py.io/2020/01/zero-day-exploit-in-determine-selectica-contract-lifecycle-management-sclm-v5-4 · Exploit
• https://osv.dev/vulnerability/CVE-2019-20155 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-20155 · Nota de Segurança