CVE-2021-21425

Résumé

Grav Admin Plugin est une interface utilisateur HTML qui permet de configurer Grav et de créer et modifier des pages. Dans les versions 1.10.7 et antérieures, un utilisateur non authentifié peut exécuter certaines méthodes du contrôleur d'administration sans avoir besoin d'identifiants. L'exécution de certaines méthodes entraîne la création arbitraire de fichiers YAML ou la modification du contenu de fichiers YAML existants sur le système. L'exploitation réussie de cette vulnérabilité entraîne des modifications de configuration, telles que la modification des informations générales du site, la définition de tâches de planificateur personnalisées, etc. En raison de la nature de la vulnérabilité, un adversaire peut modifier une partie de la page web, détourner un compte administrateur ou exécuter des commandes du système d'exploitation dans le contexte de l'utilisateur du serveur web. Cette vulnérabilité est corrigée dans la version 1.10.8. Le blocage de l'accès au chemin `/admin` depuis des sources non fiables peut être appliqué comme solution de contournement.

• CVE-2021-21425Exploit

  Exploit Python pour CVE-2021-21425 qui exécute une charge utile de shell inversé contre une IP cible, avec des instructions pour configurer un écouteur netcat.

• cve-2021-21425Exploit

  exploit fonctionnel pour l'ancienne vulnérabilité cve-2021-21425 de grav cms 1.7.10