PT-2022-11458 · Unknown · Church Management System

Publicado 2022-06-13 · Atualizado 2022-06-27 · CVE-2021-41661

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Church Management System versão 1.0

Descrição

A vulnerabilidade permite a injeção de SQL por meio da criação de um usuário com um arquivo PHP como imagem de avatar, acessível através do diretório “/uploads”. Isso pode levar à execução remota de código (RCE) no servidor web mediante o upload de um webshell PHP.

Recomendações

Para o Sistema de Gestão de Igrejas versão 1.0, considere desativar a possibilidade de enviar arquivos PHP como imagens de avatar até que uma correção esteja disponível. Restrinja o acesso ao diretório “/uploads” para minimizar o risco de exploração. Evite usar o recurso de criação de usuários vulnerável com envio de arquivos até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-41661

Produtos afetados

Church Management System

Referências · 5

• 🔥 https://github.com/janikwehrli1/0dayHunt/blob/main/Church_Managementv1.0_RCE.py · Exploit
• https://t.me/cvenotify/31556 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41661 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41661 · Aviso do Fabricante
• https://t.me/cibsecurity/44345 · Publicação no Telegram