PT-2022-12196 · Xerte · Xerte

Rik Lutz · Publicado 2022-02-24 · Atualizado 2022-03-03 · CVE-2021-44663

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Xerte Project Xerte versões 3.8.4 e anteriores

Descrição

Existe uma vulnerabilidade de execução remota de código (RCE) por meio de um arquivo PHP malicioso via elfinder no arquivo connetor.php. Isso permite a potencial execução de código.

Recomendações

Para as versões 3.8.4 e anteriores do Xerte Project Xerte, considere desativar o conector elfinder em connetor.php como uma solução temporária até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Identificadores relacionados

CVE-2021-44663

Produtos afetados

Xerte

Referências · 7

• 🔥 https://riklutz.nl/2021/10/30/unauthenticated-file-upload-to-remote-code-execution-in-xerte · Exploit
• https://github.com/thexerteproject/xerteonlinetoolkits/commit/694a591b5ab7f634f036afaac10397cf3677a98c · Correção
• https://xerte.org.uk/index.php/en/news/blog/80-news/336-xerte-3-8-5-important-security-update-now-available · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-44663 · Nota de Segurança
• https://t.me/cvenotify/27638 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-44663 · Aviso do Fabricante
• https://t.me/cibsecurity/38052 · Publicação no Telegram