CVE-2019-19511

Cheverote - 1.0.0 Free - 1.1.4 Free, <= 3.13.4 Core, Exécution de code à distance

Description

installer.php dans Chevereto jusqu'à la version 1.1.4 Free, et jusqu'à la version 3.13.4 Core, permet aux administrateurs authentifiés à distance d'exécuter du code PHP arbitraire en injectant ce code dans le processus d'installation et en écrasant le fichier settings.php, qui contiendra alors le code injecté. Étant donné que settings.php est écrasé, cela réinitialise également l'application et la place dans un état de déni de service jusqu'à ce que les paramètres soient restaurés.

Référence

https://github.com/Chevereto/Chevereto-Free/blob/1.1.4/app/install/installer.php#L736