CVE-2019-19511

Chevereto - 1.0.0 Free - 1.1.4 Free, <= 3.13.4 Core، تنفيذ التعليمات البرمجية عن بُعد

الوصف

الملف installer.php في Chevereto حتى الإصدار 1.1.4 Free، وحتى 3.13.4 Core، يسمح للمسؤولين المصادق عليهم عن بُعد بتنفيذ كود PHP عشوائي عن طريق حقن هذا الكود في عملية الإعداد واستبدال ملف settings.php، الذي سيحتوي بعد ذلك على الكود المحقون. وبما أن settings.php يتم استبداله، فإنه يعيد تعيين التطبيق ويضعه في حالة رفض الخدمة حتى تتم استعادة الإعدادات.

المرجع

https://github.com/Chevereto/Chevereto-Free/blob/1.1.4/app/install/installer.php#L736