lingchul/cve_poc_testExploit PoC para CVE-2019-13086 dirigido a vulnerabilidades de inyección SQL y carga de archivos en CSZ CMS. Incluye configuración experimental y código de reproducción para pruebas de seguridad.
Reproducción del CVE-2019-13086 y código experimental del POC
Información original del CVE: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-13086
Entorno de prueba: Arquitectura CSZ CMS + php5.4 + MySQL 5.5 + Apache 2.4
Tipo de vulnerabilidad: Inyección SQL Subida de archivos
Breve descripción: En la función csrf_show_error de \cszcms\cszcms\core\MY_Security.php el campo User-Agent del paquete HTTP se añade a la consulta de la base de datos sin ninguna verificación de contenido esto se convierte en un punto donde se puede construir una inyección SQL
Medidas de defensa: ¡Por supuesto, modificar rápidamente el código fuente para agregar detección del campo UA del paquete HTTP!
