PT-2020-13652 · Quickbox+1 · Quickbox Community Edition+2
S1Gh
·
Publicado
2020-06-01
·
Atualizado
2020-06-02
·
CVE-2020-13694
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
QuickBox Community Edition versões 2.5.5 e anteriores
QuickBox Pro Edition versões 2.1.8 e anteriores
Descrição
A vulnerabilidade permite que o usuário local www-data execute o comando
sudo mysql sem senha. Isso significa que o usuário www-data pode executar comandos arbitrários do sistema operacional por meio da opção mysql -e.Recomendações
Para as versões 2.5.5 e anteriores do QuickBox Community Edition, atualize para uma versão em que este problema tenha sido corrigido.
Para as versões 2.1.8 e anteriores do QuickBox Pro Edition, atualize para uma versão em que este problema tenha sido corrigido.
Como solução temporária, considere restringir o acesso do usuário
www-data ao comando mysql até que um patch esteja disponível.Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Quickbox Community Edition
Quickbox Pro Edition
Mysql Server