PT-2021-10580 · Fusionpbx · Fusionpbx

Pierre Jourdan · Publicado 2021-05-20 · Atualizado 2021-05-25 · CVE-2020-21057

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

**Nome do software vulnerável e versões afetadas:

FusionPBX versão 4.5.7

Descrição:

Uma vulnerabilidade de traversal de diretório permite que um usuário mal-intencionado remoto exclua pastas do sistema. Isso é feito explorando a variável folder no endpoint “/app/edit/folderdelete.php”.

Recomendações:

Para o FusionPBX versão 4.5.7, considere restringir o acesso ao endpoint “/app/edit/folderdelete.php” até que uma correção esteja disponível. Como solução temporária, evite usar a variável folder neste endpoint para minimizar o risco de exploração.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-21057

Produtos afetados

Fusionpbx

Referências · 4

• https://github.com/fusionpbx/fusionpbx/commit/026c3958c3c7ca6b2ff067addc991aac8f41cf11 · Correção
• https://resp3ctblog.wordpress.com/2019/10/28/fusionpbx-path-traversal-4 · Correção
• https://osv.dev/vulnerability/CVE-2020-21057 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-21057 · Nota de Segurança