CMSがシンプルに。ダンコニアメディア
ラベルの付いた脆弱性 CVE-2018-1000094 のバージョン2.2.5で発見されました CMSがシンプルに テキストファイルを使用して、phpまたはその他のコードを実行できます。この脆弱性は、ファイル名と拡張子の検証がないために存在し、管理者アカウントがファイルマネージャーを使用してサーバーにファイルをコピーすると、ファイルの名前と拡張子が検証されないため、悪意のあるテキストファイルが悪用される可能性があります。 .phpとしてレンダリングされ、デバイス上で悪意のあるコードを自動的に実行します。脆弱性は、 CVSS 3.0 そしてそれは8/10の悪用可能性サブスコアを与えられました。ネットワーク内で悪用可能で、悪用は比較的簡単で、管理者権限の認証は1回だけで済みます。
以下 コード Mustafa Hasanによって作成されたものは、この脆弱性の概念実証を示しています。
この脆弱性に対する修正はまだないようです。アナリストは、管理者の信頼性を確保し、資格情報が危険にさらされないようにし、ユーザーの権利とアクセス許可を管理するためのサーバーポリシーを設定することで、この脆弱性が悪影響から軽減されると述べています。
