PT-2022-18761 · Unknown · Purchase Order Management System

K0Xx11 · Publicado 2022-04-21 · Atualizado 2022-04-29 · CVE-2022-28021

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gerenciamento de Ordens de Compra, versão 1.0

Descrição

Foi identificada uma vulnerabilidade de execução remota de código no Sistema de Gerenciamento de Ordens de Compra, que pode ser explorada por meio do endpoint da API “/purchase order/admin/?page=user”.

Recomendações

Para o Sistema de Gerenciamento de Ordens de Compra versão 1.0, considere restringir o acesso ao endpoint “/purchase order/admin/?page=user” até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-28021

Produtos afetados

Purchase Order Management System

Referências · 3

• 🔥 https://github.com/k0xx11/bug_report/blob/main/vendors/oretnom23/purchase-order-management-system/RCE-1.md · Exploit
• https://osv.dev/vulnerability/CVE-2022-28021 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-28021 · Nota de Segurança