PT-2021-17657 · Craft Cms · Craft Cms

Publicado 2021-06-30 · Atualizado 2022-07-12 · CVE-2021-27903

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Craft CMS anteriores à 3.6.7

Descrição:

Existia uma vulnerabilidade potencial de execução remota de código em determinadas circunstâncias em sites que não restringiam alterações administrativas, especialmente se um invasor conseguisse sequestrar a sessão de um administrador.

Recomendações:

Para versões anteriores à 3.6.7, atualize para a versão 3.6.7 ou posterior para resolver o problema. Como solução temporária, considere restringir alterações administrativas e garantir a segurança da sessão para minimizar o risco de exploração.

Correção

RCE

Code Injection

Missing Authorization

Special Elements Injection

Enumeração de Fraquezas

CWE-94

CWE-862

CWE-74

Identificadores relacionados

CVE-2021-27903

GHSA-X2J7-6HXM-87P3

Produtos afetados

Craft Cms

Referências · 8

• https://github.com/craftcms/cms/commit/c17728fa0bec11d3b82c34defe0930ed409aec38 · Correção
• https://github.com/craftcms/cms/blob/develop/CHANGELOG.md#367---2021-02-23 · Nota
• https://github.com/craftcms/cms/blob/develop/CHANGELOG.md#security · Nota
• https://t.me/cibsecurity/25820 · Publicação no Telegram
• https://t.me/cvenotify/16905 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-27903 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x2j7-6hxm-87p3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-27903 · Nota de Segurança