PT-2022-28094 · Unknown · Thinkphp Framework

1Nhann

·

Publicado

2022-12-23

·

Atualizado

2026-01-10

·

CVE-2022-47945

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do ThinkPHP Framework anteriores à 6.0.14
Descrição
A vulnerabilidade permite a inclusão de arquivos locais por meio do parâmetro lang quando o recurso de pacote de idiomas está habilitado (lang switch on=true). Um invasor remoto e não autenticado pode explorar essa vulnerabilidade para executar comandos arbitrários do sistema operacional, conforme demonstrado pela inclusão do arquivo pearcmd.php. Mais de 572 endereços IP lançaram ataques, com picos recentes nas tentativas de exploração.
Recomendações
Para versões do ThinkPHP Framework anteriores à 6.0.14, considere desativar o recurso de pacote de idiomas definindo lang switch on=false até que um patch esteja disponível. Restrinja o acesso ao parâmetro lang para minimizar o risco de exploração.

Exploit

Correção

Path traversal

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-47945
GHSA-P4QR-VQ2G-22WP

Produtos afetados

Thinkphp Framework