PT-2021-23208 · Basercms · Basercms

Akagi Yusuke · Publicado 2021-11-26 · Atualizado 2021-12-01 · CVE-2021-41243

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

baserCMS versões 4.5.3 e anteriores

Descrição

O sistema de gerenciamento do baserCMS apresenta uma vulnerabilidade potencial de “Zip Slip” e uma vulnerabilidade de injeção de comando no sistema operacional. Usuários com permissões para fazer upload de arquivos podem enviar arquivos ZIP maliciosos, capazes de executar comandos arbitrários no sistema operacional do host. Esse problema deve ser resolvido quando o sistema de gerenciamento for utilizado por um número indeterminado de usuários.

Recomendações

Atualize para a versão mais recente do baserCMS. Como solução temporária, considere restringir as permissões de upload de arquivos para minimizar o risco de exploração. Evite usar o recurso de upload de arquivos até que o problema seja resolvido.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-41243

GHSA-7RPC-9M88-CF9W

Produtos afetados

Basercms

Referências · 7

• https://github.com/baserproject/basercms · Nota
• https://github.com/baserproject/basercms/security/advisories/GHSA-7rpc-9m88-cf9w · Nota
• https://github.com/baserproject/basercms/commit/9088b99c329d1faff3a2f1269f37b9a9d8d5f6ff · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-41243 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7rpc-9m88-cf9w · Aviso do Fabricante
• https://t.me/cibsecurity/33004 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41243 · Aviso do Fabricante