PT-2020-8913 · Kcfinder+1 · Kcfinder+1

Neil Drumm · Publicado 2020-12-31 · Atualizado 2021-01-11 · CVE-2018-25002

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Projeto de integração KCFinder para versões do Drupal anteriores a 01/06/2018

Descrição

O problema diz respeito a um tratamento incorreto da validação no arquivo uploader.php. Isso poderia potencialmente levar a problemas de segurança, embora não sejam fornecidos detalhes específicos sobre a exploração ou os dispositivos afetados.

Recomendações

Para versões anteriores a 01/06/2018, considere desativar o arquivo uploader.php como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à integração vulnerável do KCFinder para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2018-25002

Produtos afetados

Drupal

Kcfinder

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2018-25002 · Nota de Segurança
• https://drupal.org/project/kcfinder/issues/1768718 · Nota
• https://drupal.org/project/kcfinder/issues/1768720 · Nota
• https://t.me/cvenotify/8062 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2018-25002 · Aviso do Fabricante
• https://drupal.org/sa-contrib-2018-024 · Nota