PT-2022-8723 · Shopxo · Shopxo

Lavon321 · Publicado 2022-03-20 · Atualizado 2022-03-28 · CVE-2020-26007

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ShopXO versão 1.9.0

Descrição

A vulnerabilidade permite que invasores executem código arbitrário por meio do upload de um arquivo PHP malicioso, explorando uma vulnerabilidade de upload de arquivos arbitrários no plugin de pagamento por upload.

Recomendações

Para a versão 1.9.0 do ShopXO, considere desativar o plugin de pagamento por upload até que uma correção esteja disponível, a fim de impedir uploads de arquivos arbitrários e a subsequente execução de código.

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2020-26007

Produtos afetados

Shopxo

Referências · 4

• 🔥 https://github.com/gongfuxiang/shopxo/issues/48 · Exploit
• https://t.me/cibsecurity/39295 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-26007 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-26007 · Nota de Segurança