PT-2021-20053 · Alkacon · Alkacon Opencms

Gwestenberger · Publicado 2021-10-08 · Atualizado 2021-10-15 · CVE-2021-3312

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Alkacon OpenCms, versões 11.0 a 11.0.2

Descrição

Uma vulnerabilidade de entidade externa XML (XXE) permite que usuários remotos autenticados com privilégios de edição extraiam arquivos do sistema de arquivos do servidor ao fazer upload de um documento SVG malicioso.

Recomendações

Para as versões 11.0 a 11.0.2, atualize para uma versão que inclua uma correção para este problema, a fim de impedir a exfiltração de arquivos.

Como solução temporária, considere restringir o envio de documentos SVG ou limitar os privilégios de edição a usuários confiáveis até que um patch esteja disponível.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-3312

GHSA-G6V7-VQHX-6V6C

Produtos afetados

Alkacon Opencms

Referências · 9

• 🔥 https://github.com/alkacon/opencms-core/issues/725 · Exploit
• https://github.com/alkacon/opencms-core · Nota
• https://github.com/alkacon/opencms-core/releases · Nota
• https://github.com/alkacon/opencms-core/commit/92e035423aa6967822d343e54392d4291648c0ee · Nota
• https://github.com/alkacon/opencms-core/issues/721 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-3312 · Nota de Segurança
• https://t.me/cibsecurity/30245 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-3312 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g6v7-vqhx-6v6c · Aviso do Fabricante