CVE-2019-15954
Se detectó un problema en Total.js CMS versión 12.0.0. Un usuario autenticado con el privilegio de widgets puede lograr la Ejecución Remota de Comandos...
- Publicado
- 5 sept 2019
- Actualizado
- 5 ago 2024
- Asignación de CNA
- mitre
- Evidencia observada
- 22 oct 2019
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,6 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se detectó un problema en Total.js CMS versión 12.0.0. Un usuario autenticado con el privilegio de widgets puede lograr la Ejecución Remota de Comandos (RCE) en el servidor remoto creando un widget malicioso con una etiqueta especial que contenga un código JavaScript que se evaluará en el server side. En el proceso de evaluación de la etiqueta por el back-end, es posible escapar del objeto sandbox utilizando la siguiente carga útil:
Fuentes
1Metasploit · multiple · 22 oct 2019
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.