PT-2020-20648 · Logicaldoc · Logicaldoc

Publicado 2020-03-18 · Atualizado 2020-04-08 · CVE-2020-9423

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do LogicalDoc anteriores à 8.3.3

Descrição

A vulnerabilidade permite que um invasor faça upload de arquivos arbitrários, o que pode levar à execução de comandos ou à recuperação de dados do banco de dados. Isso ocorre devido ao uso indevido da funcionalidade de adição de documentos, que pode ser explorada por um invasor não autenticado para fazer upload de arquivos maliciosos em pastas restritas, resultando na execução de comandos com privilégios de root.

Recomendações

Para versões anteriores à 8.3.3, atualize para a versão 8.3.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de upload de documentos para impedir que invasores não autenticados enviem arquivos arbitrários.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2020-9423

Produtos afetados

Logicaldoc

Referências · 5

• 🔥 https://coresecurity.com/advisories/logicaldoc-virtual-appliance-multiple-vulnerabilities · Exploit
• https://t.me/cvenotify/2516 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-9423 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-9423 · Nota de Segurança
• https://t.me/cvenotify/1893 · Publicação no Telegram