PT-2020-12680 · Projectworlds · Project Worlds Official Car Rental System

Publicado 2020-04-06 · Atualizado 2020-04-06 · CVE-2020-11544

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Project Worlds Official Car Rental System versão 1

Descrição

A vulnerabilidade permite que um usuário administrador execute comandos no servidor usando sua conta, devido a uma falha que permite o upload arbitrário de arquivos através do arquivo add cars.php, localizado na seção de upload da página do gerenciador de arquivos. Não há restrições para o upload de arquivos executáveis, o que pode ser explorado.

Recomendações

Para o Project Worlds Official Car Rental System versão 1, restrinja o acesso ao arquivo add cars.php para impedir uploads arbitrários de arquivos até que uma correção esteja disponível. Considere implementar restrições de upload para arquivos executáveis como medida de mitigação temporária.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2020-11544

Produtos afetados

Project Worlds Official Car Rental System

Referências · 4

• 🔥 https://frostylabs.net/writeups/cve-2020-11544 · Exploit
• https://t.me/cvenotify/2438 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-11544 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-11544 · Nota de Segurança