PT-2022-12278 · Icms · Icms

Publicado 2022-02-04 · Atualizado 2022-02-08 · CVE-2021-44978

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 8.0.0 e anteriores do iCMS

Descrição

A falha permite que os usuários adicionem e renderizem um modelo personalizado que apresenta uma vulnerabilidade de injeção de modelo no lado do servidor (SSTI). Essa vulnerabilidade pode resultar na execução remota de código.

Recomendações

Para as versões 8.0.0 e anteriores, atualize para uma versão posterior à 8.0.0 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso à funcionalidade de renderização de modelos até que um patch esteja disponível.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2021-44978

Produtos afetados

Icms

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2021-44978 · Nota de Segurança
• https://icmsdev.com · Nota
• https://gem-love.com/2021/12/10/ICMS-8-0-0%E5%90%8E%E5%8F%B0%E6%A8%A1%E6%9D%BF%E6%B3%A8%E5%85%A5%E5%AF%BC%E8%87%B4%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C0day%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90 · Nota
• https://osv.dev/vulnerability/CVE-2021-44978 · Aviso do Fabricante
• https://t.me/cibsecurity/36857 · Publicação no Telegram