PT-2022-12504 · Sourcecodester · Sourcecodester Free School Management

Publicado 2022-01-18 · Atualizado 2022-01-24 · CVE-2021-46013

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sourcecodester – Software gratuito de gestão escolar, versão 1.0

Descrição

Existe uma vulnerabilidade relacionada ao upload irrestrito de arquivos, permitindo que um invasor execute código remotamente no servidor web afetado. Isso pode ser feito através do upload de um webshell PHP contendo “”, que é salvo no diretório /uploads/exam question/ e fica acessível a todos os usuários.

Recomendações

Para o software de gestão escolar Sourcecodester Free versão 1.0, considere restringir ou desativar o upload de arquivos até que uma correção esteja disponível para impedir a execução remota de código. Como solução temporária, restrinja o acesso ao diretório /uploads/exam question/ para minimizar o risco de exploração. Evite usar a variável cmd no código PHP afetado até que a vulnerabilidade seja resolvida.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2021-46013

Produtos afetados

Sourcecodester Free School Management

Referências · 3

• 🔥 https://exploit-db.com/exploits/50587 · Exploit
• https://osv.dev/vulnerability/CVE-2021-46013 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-46013 · Nota de Segurança