PT-2022-25854 · Unknown · Blogengine.Net

Tsungshu Chiu · Publicado 2022-12-19 · Atualizado 2023-03-22 · CVE-2022-41418

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

BlogEngine.NET versão 3.3.8.0

Descrição

Uma falha no componente BlogEngine/BlogEngine.NET/AppCode/Api/UploadController.cs permite que invasores executem código arbitrário por meio do upload de um arquivo PNG especialmente criado.

Recomendações

Para o BlogEngine.NET versão 3.3.8.0, considere desativar o componente UploadController.cs até que uma correção esteja disponível para impedir a execução de código arbitrário. Restrinja o acesso ao UploadController.cs para minimizar o risco de exploração. Evite usar o UploadController.cs para fazer upload de arquivos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-41418

Produtos afetados

Blogengine.Net

Referências · 8

• https://github.com/BlogEngine/BlogEngine.NET/commit/7f927567db94462ffd37e128c0a53c11c1f81a8d · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-41418 · Nota de Segurança
• https://t.me/cvenotify/46593 · Publicação no Telegram
• https://chtsecurity.com/news/8719b7f3-1129-4fb4-8801-298970d81df7 · Nota
• https://osv.dev/vulnerability/CVE-2022-41418 · Aviso do Fabricante
• https://gist.github.com/tree-chtsec/22a0a531ea188fd5b76fe11d32f41e95 · Nota
• https://gist.github.com/tree-chtsec/a02258bb6dea0d16e7e631898c066e05 · Nota
• https://t.me/cibsecurity/54915 · Publicação no Telegram