PT-2021-10473 · Yccms · Yccms

Publicado 2021-02-01 · Atualizado 2021-02-04 · CVE-2020-20290

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

**Nome do software vulnerável e versões afetadas:

yccms versão 3.3

Descrição:

O problema está relacionado a uma vulnerabilidade de traversal de diretório no projeto yccms. Essa vulnerabilidade é desencadeada pela avaliação inadequada dos parâmetros de solicitação nas funções delete, deletesite e deleteAll.

Recomendações:

Para o yccms versão 3.3, considere restringir o acesso às funções delete, deletesite e deleteAll até que um patch esteja disponível. Como solução temporária, revise e valide todos os parâmetros de solicitação para evitar ataques de traversal de diretório. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-20290

Produtos afetados

Yccms

Referências · 5

• 🔥 https://blog.jiguang.xyz/posts/yccms-directory-traversal-vulnerability-report · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-20290 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-20290 · Aviso do Fabricante
• https://t.me/cibsecurity/22911 · Publicação no Telegram
• https://t.me/cvenotify/9232 · Publicação no Telegram