PT-2020-15332 · Frontaccounting · Frontaccounting

Zh3-H4Ck · Publicado 2020-09-30 · Atualizado 2020-10-14 · CVE-2020-21244

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.5

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:P/A:P

Nome do software vulnerável e versões afetadas

FrontAccounting versão 2.4.7

Descrição

Foi detectada uma falha no FrontAccounting, trata-se de uma vulnerabilidade de traversal de diretório. Essa vulnerabilidade pode ser explorada para esvaziar uma pasta por meio do endpoint admin/inst lang.php. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível.

Recomendações

Para o FrontAccounting versão 2.4.7, como solução temporária, considere restringir o acesso ao endpoint admin/inst lang.php até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-21244

Produtos afetados

Frontaccounting

Referências · 4

• 🔥 https://github.com/FrontAccountingERP/FA/issues/40 · Exploit
• https://t.me/cibsecurity/14965 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-21244 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-21244 · Nota de Segurança