PT-2021-24081 · Tuzicms · Tuzicms

Maoqingyao · Publicado 2021-12-03 · Atualizado 2021-12-06 · CVE-2021-44347

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

TuziCMS versão 2.0.6

Descrição:

Existe uma vulnerabilidade de injeção de SQL no arquivo GuestbookController.class.php, localizado em AppManageController. Essa vulnerabilidade pode permitir o acesso não autorizado às informações do banco de dados.

Recomendações:

Para o TuziCMS versão 2.0.6, considere restringir o acesso ao arquivo GuestbookController.class.php até que uma correção esteja disponível. Como solução temporária, revise e modifique as consultas SQL no arquivo GuestbookController.class.php para evitar ataques de injeção. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-44347

Produtos afetados

Tuzicms

Referências · 4

• 🔥 https://github.com/yeyinshi/tuzicms/issues/7 · Exploit
• https://t.me/cibsecurity/33336 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-44347 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-44347 · Aviso do Fabricante