PT-2022-21085 · Ruoyi · Ruoyi

Solarpeng502 · Publicado 2022-07-13 · Atualizado 2022-07-26 · CVE-2022-32065

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do RuoYi anteriores à 4.7.3

Descrição

Uma vulnerabilidade de upload de arquivos arbitrários no módulo de gerenciamento em segundo plano permite que invasores executem código arbitrário por meio de um arquivo HTML malicioso.

Recomendações

Para versões anteriores à 4.7.3, atualize para uma versão que contenha uma correção para este problema, a fim de impedir a execução de código arbitrário. Como solução temporária, considere restringir o acesso ao módulo de gerenciamento em segundo plano para minimizar o risco de exploração.

Exploit

Correção

Unrestricted File Upload

XSS

Enumeração de Fraquezas

CWE-434

CWE-79

Identificadores relacionados

CVE-2022-32065

GHSA-6W2F-6WQ3-RJVF

Produtos afetados

Ruoyi

Referências · 9

• 🔥 https://github.com/yangzongzhuan/RuoYi/issues/118 · Exploit
• 🔥 https://gitee.com/y_project/RuoYi/issues/I57IME · Exploit
• https://github.com/yangzongzhuan/RuoYi · Nota
• https://github.com/yangzongzhuan/RuoYi/commit/d8b2a9a905fb750fa60e2400238cf4750a77c5e6 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-32065 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-32065 · Aviso do Fabricante
• https://t.me/cibsecurity/46166 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-6w2f-6wq3-rjvf · Aviso do Fabricante
• https://gitee.com/y_project/RuoYi/commit/d8b2a9a905fb750fa60e2400238cf4750a77c5e6 · Nota