PT-2021-22937 · Jfinalcms · Jfinalcms

E0Mljao · Publicado 2021-09-15 · Atualizado 2022-07-12 · CVE-2021-40639

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Jfinal CMS versão 5.1.0

Descrição

O problema está relacionado a um controle de acesso inadequado, permitindo que invasores acessem informações confidenciais. Isso pode ser feito por meio dos parâmetros “/classes/conf/db.properties” e “config=filemanager.config.js”.

Recomendações

Para o Jfinal CMS versão 5.1.0, considere restringir o acesso aos parâmetros “/classes/conf/db.properties” e “config=filemanager.config.js” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Authorization

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-863

CWE-668

Identificadores relacionados

CVE-2021-40639

Produtos afetados

Jfinalcms

Referências · 8

• 🔥 https://github.com/jflyfox/jfinal_cms/issues/27 · Exploit
• https://github.com/jflyfox/jfinal_cms · Nota
• https://osv.dev/vulnerability/CVE-2021-40639 · Aviso do Fabricante
• http://jfinalcms.com · Nota
• https://t.me/cvenotify/20968 · Publicação no Telegram
• https://t.me/cvenotify/20946 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-40639 · Nota de Segurança
• https://t.me/cibsecurity/28956 · Publicação no Telegram