PT-2021-10527 · Zkeacms · Zkeacms

Alilovetaozi · Publicado 2021-09-13 · Atualizado 2021-09-23 · CVE-2020-20670

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

ZKEACMS versão 3.2.0

Descrição:

Uma falha no envio arbitrário de arquivos no endpoint da API “/admin/media/upload” permite que invasores executem código arbitrário por meio de um arquivo HTML malicioso.

Recomendações:

Para o ZKEACMS versão 3.2.0, considere desativar o endpoint da API “/admin/media/upload” até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a este endpoint para minimizar o risco de execução de código arbitrário. Evite usar este endpoint com entradas não confiáveis até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2020-20670

Produtos afetados

Zkeacms

Referências · 5

• 🔥 https://github.com/yilezhu/Czar.Cms/issues/6 · Exploit
• https://t.me/cibsecurity/28765 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-20670 · Aviso do Fabricante
• https://t.me/cvenotify/20816 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-20670 · Nota de Segurança