PT-2021-10940 · Unknown · Php-Fusion

Publicado 2021-11-02 · Atualizado 2021-11-03 · CVE-2020-23754

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

PHP-Fusion versão 9.03.50

Descrição:

O problema está relacionado a uma vulnerabilidade de Cross Site Scripting (XSS), que permite que invasores executem código arbitrário por meio do recurso de enquetes. Isso é possibilitado pelo arquivo poll admin.php no diretório infusions/member poll panel.

Recomendações:

Para o PHP-Fusion versão 9.03.50, considere desativar o recurso de enquetes até que um patch esteja disponível para impedir a exploração da vulnerabilidade XSS. Restrinja o acesso ao arquivo poll admin.php para minimizar o risco de execução de código arbitrário.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-23754

Produtos afetados

Php-Fusion

Referências · 6

• https://github.com/php-fusion/PHP-Fusion/issues/2315 · Nota
• https://t.me/cibsecurity/31622 · Publicação no Telegram
• https://user-images.githubusercontent.com/62001260/81574006-6fb70480-93cf-11ea-814c-55a96d2fe95e.PNG · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-23754 · Nota de Segurança
• https://user-images.githubusercontent.com/62001260/81574112-9412e100-93cf-11ea-9493-615a70162034.PNG · Nota
• https://osv.dev/vulnerability/CVE-2020-23754 · Aviso do Fabricante