PT-2022-12690 · Unknown · Filebrowser

Febin · Publicado 2022-02-04 · Atualizado 2022-03-04 · CVE-2021-46398

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Filebrowser anteriores à 2.18.0

Descrição

Existe uma vulnerabilidade de falsificação de solicitação entre sites (Cross-Site Request Forgery) no Filebrowser que permite que invasores criem um usuário backdoor com privilégios de administrador e obtenham acesso ao sistema de arquivos por meio de uma página HTML maliciosa enviada à vítima. Isso pode levar à execução remota de código (RCE), já que um administrador pode executar comandos usando o FileBrowser.

Recomendações

Para versões anteriores à 2.18.0, atualize para a versão 2.18.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao FileBrowser para minimizar o risco de exploração.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-46398

GHSA-72WF-HWCQ-65H9

GO-2022-0563

Produtos afetados

Filebrowser

Referências · 16

• 🔥 https://github.com/febinrev/CVE-2021-46398_Chamilo-LMS-RCE · Exploit
• 🔥 https://exploit-db.com/exploits/50717 · Exploit
• 🔥 https://febinj.medium.com/critical-csrf-to-rce-in-filebrowser-865a3c34b8e7 · Exploit
• 🔥 http://packetstormsecurity.com/files/165885/FileBrowser-2.17.2-Code-Execution-Cross-Site-Request-Forgery.html · Exploit
• 🔥 https://febin0x4e4a.blogspot.com/2022/01/critical-csrf-in-filebrowser.html · Exploit
• 🔥 https://febin0x4e4a.wordpress.com/2022/01/19/critical-csrf-in-filebrowser · Exploit
• 🔥 https://systemweakness.com/critical-csrf-to-rce-in-filebrowser-865a3c34b8e7 · Exploit
• https://github.com/filebrowser/filebrowser · Nota
• https://github.com/filebrowser/filebrowser/commit/74b7cd8e81840537a8206317344f118093153e8d · Correção
• https://github.com/filebrowser/filebrowser/issues/1621 · Nota
• https://osv.dev/vulnerability/CVE-2021-46398 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-72wf-hwcq-65h9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-46398 · Nota de Segurança
• https://pkg.go.dev/vuln/GO-2022-0563 · Nota
• https://t.me/cibsecurity/36859 · Publicação no Telegram