PT-2021-21300 · Sourcecodester · Sourcecodester Online Covid Vaccination Scheduler System
Faisalfs10X
·
Publicado
2021-08-03
·
Atualizado
2021-08-12
·
CVE-2021-36622
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Sourcecodester Online Covid Vaccination Scheduler System versão 1.0
Descrição
A vulnerabilidade permite o upload arbitrário de arquivos. O painel de administração possui uma função de upload para fotos de perfil, acessível em “http://localhost/scheduler/admin/?page=user”. Um invasor poderia fazer o upload de um arquivo malicioso, como
shell.php, definindo o Content-Type como image/png. O invasor pode então acessar o arquivo enviado, o que pode levar a acesso não autorizado.Recomendações
Para o Sistema de Agendamento Online de Vacinação contra a Covid da Sourcecodester, versão 1.0, considere desativar a função de upload de foto de perfil no painel de administração até que uma correção esteja disponível. Restrinja o acesso ao endpoint “http://localhost/scheduler/admin/?page=user” para minimizar o risco de exploração. Evite permitir uploads com cabeçalhos
Content-Type incompatíveis para impedir uploads de arquivos maliciosos.Exploit
Correção
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Sourcecodester Online Covid Vaccination Scheduler System