PT-2022-24934 · Qtiworks · Qtiworks
Jlleitschuh
·
Publicado
2022-10-28
·
Atualizado
2022-11-01
·
CVE-2022-39367
CVSS v3.1
8.6
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do QTIWorks anteriores à 1.0-beta15
Descrição
O QTIWorks é um pacote de software para a realização de avaliações baseadas em padrões. O código responsável pelo manuseio de arquivos ZIP não verifica adequadamente os caminhos dos arquivos contidos nos arquivos ZIP, permitindo que arquivos sejam inseridos em outros locais do sistema de arquivos, caso sejam graváveis pelo processo que executa o QTIWorks Engine. Isso poderia permitir que usuários anônimos alterassem arquivos em locais arbitrários no sistema de arquivos. No entanto, em implantações normais do QTIWorks Engine, o impacto é um pouco reduzido, pois a configuração padrão do QTIWorks não habilita a funcionalidade de demonstração pública; assim, os arquivos ZIP só podem ser enviados por usuários com privilégios de “instrutor”.
Recomendações
Para versões anteriores à 1.0-beta15, atualize para a versão 1.0-beta15 para corrigir o problema. Não são necessárias alterações na configuração do banco de dados ao atualizar para esta versão. Como solução alternativa temporária, considere restringir o upload de arquivos ZIP a usuários confiáveis ou desativar a funcionalidade de upload de ZIP até que a atualização seja aplicada.
Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Qtiworks