PT-2022-8642 · Tinyshop · Tinyshop

Publicado 2022-03-25 · Atualizado 2022-03-31 · CVE-2020-21554

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

TinyShop versão 3.1.1

Descrição

Existe uma falha relacionada à exclusão de arquivos no parâmetro back list no arquivo controllersadmin.php, que poderia permitir que um usuário mal-intencionado exclua qualquer arquivo, como o install.lock, para reinstalar o CMS.

Recomendações

Para a versão 3.1.1 do TinyShop, considere restringir o acesso ao parâmetro back list no arquivo controllersadmin.php para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro back list até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Identificadores relacionados

CVE-2020-21554

Produtos afetados

Tinyshop

Referências · 7

• 🔥 https://imgur.com/dg1DM5T · Exploit
• 🔥 https://imgur.com/pA8OWxa · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-21554 · Nota de Segurança
• http://tinyrise.com · Nota
• http://tinyrise.com/down.html · Nota
• https://t.me/cibsecurity/39541 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-21554 · Aviso do Fabricante