PT-2024-21972 · Unknown · Cms Made Simple

Secatgourity · Publicado 2024-03-05 · Atualizado 2024-08-05 · CVE-2024-27622

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

CMS Made Simple, versões 2.2.19 a 2.2.21

Descrição

Foi identificada uma vulnerabilidade de execução remota de código no módulo “User Defined Tags” do CMS Made Simple. Essa vulnerabilidade decorre da sanitização inadequada das entradas fornecidas pelo usuário na seção “Code” do módulo. Como resultado, usuários autenticados com privilégios administrativos podem injetar e executar código PHP arbitrário.

Recomendações

Para as versões 2.2.19 a 2.2.21 do CMS Made Simple, considere desativar o módulo User Defined Tags até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso à seção ‘Code’ do módulo para minimizar o risco de execução de código PHP arbitrário.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

CWE-75

Identificadores relacionados

CVE-2024-27622

Produtos afetados

Cms Made Simple

Referências · 10

• 🔥 https://packetstormsecurity.com/files/177241/CMS-Made-Simple-2.2.19-Remote-Code-Execution.html · Exploit
• 🔥 https://github.com/capture0x/CMSMadeSimple · Exploit
• 🔥 https://vicarius.io/vsociety/posts/pwning-cmsms-via-user-defined-tags-for-fun-and-learning-cve-2024-27622-27623 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-27622 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1765036633139662944 · Publicação no Twitter
• https://t.me/cvenotify/82321 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-27622 · Aviso do Fabricante
• https://t.me/cvenotify/84088 · Publicação no Telegram
• https://t.me/cvenotify/73017 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1765018252324036666 · Publicação no Twitter