invisiblebyte/cve-2023-46694Proof-of-Concept-Exploit für CVE-2023-46694: authentifizierte Remote-Codeausführung über beliebigen Datei-Upload im Vtenext 21.02 Ckeditor-Dateimanager.
Entdeckt von: Federico Zambito mit Innovery
Vtenext 21.02 ermöglicht es einem authentifizierten Angreifer, beliebige Dateien hochzuladen, was zu Remote-Codeausführung führt. Diese Schwachstelle besteht, weil die Anwendung beim Zugriff auf die Ckeditor-Dateimanager-Funktionalität keine ordnungsgemäßen Authentifizierungskontrollen durchsetzt.
Entdeckungsdatum: 11/04/23
05/07/23 - Anbieter per E-Mail kontaktiert (1. Mal)
11/07/23 - Bericht an den Anbieter gesendet
25/10/23 - CVE-2023-46694 vergeben
17/11/23 - Anbieter erneut kontaktiert, aber keine Antwort
01/03/24 - Öffentliche Offenlegung
