PT-2022-23865 · Cuppacms · Cuppacms

Badru8612 · Publicado 2022-09-13 · Atualizado 2022-09-17 · CVE-2022-37191

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

CuppaCMS versão 1.0

Descrição

A vulnerabilidade permite que um usuário autenticado leia arquivos do sistema por meio de uma solicitação POST maliciosa. Isso é feito utilizando o valor do parâmetro function como carga útil de Inclusão de Arquivo Local (LFI) no componente “cuppa/api/index.php”. LFI é um tipo de vulnerabilidade que permite que um invasor inclua ou execute arquivos em um servidor, podendo levar à exposição de dados confidenciais ou à execução de código.

Recomendações

Para o CuppaCMS versão 1.0, como solução temporária, considere restringir o acesso ao componente “cuppa/api/index.php” ou desativar o uso do parâmetro function até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-829

Identificadores relacionados

CVE-2022-37191

Produtos afetados

Cuppacms

Referências · 5

• 🔥 https://github.com/CuppaCMS/CuppaCMS/issues/20 · Exploit
• 🔥 https://github.com/badru8612/CuppaCMS-Authenticated-LFI-Vulnerability · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-37191 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-37191 · Aviso do Fabricante
• https://t.me/cibsecurity/49746 · Publicação no Telegram