PT-2022-19062 · Zcms · Zcms

Zhendezuile · Publicado 2022-04-26 · Atualizado 2022-05-04 · CVE-2022-28522

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

ZCMS versão v20170206

Descrição

Foi detectada uma vulnerabilidade de script entre sites (XSS) armazenada no ZCMS. A vulnerabilidade é explorada por meio do endpoint index.php com parâmetros específicos: m=home, c=message e a=add. Isso permite a execução de scripts maliciosos.

Recomendações

Para a versão v20170206 do ZCMS, como solução temporária, considere restringir o acesso ao endpoint index.php com os parâmetros m=home, c=message e a=add até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-28522

Produtos afetados

Zcms

Referências · 5

• 🔥 https://github.com/jorycn/thinkphp-zcms/issues/5 · Exploit
• 🔥❌ https://github.com/zhendezuile/bug_report/blob/main/zcms · Exploit, Deleted
• https://t.me/cibsecurity/41459 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-28522 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-28522 · Nota de Segurança