CVE-2017-18357
Shopware 5.3.4 से पहले के संस्करण में PHP ऑब्जेक्ट इंस्टैंशिएशन संबंधी समस्या है, जो Shopware_Controllers_Backend_ProductStream कंट्रोलर की loadPreviewAction() विधि में sort पैरामीटर के माध्यम से उत्पन्न...
- प्रकाशित
- 15 जन॰ 2019
- अद्यतन
- 5 अग॰ 2024
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 23 मई 2019
प्राथमिक सीवीएसएस
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:Nमध्यम · अगले 30 दिन
- प्रतिशत
- 98.0%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Shopware 5.3.4 से पहले के संस्करण में PHP ऑब्जेक्ट इंस्टैंशिएशन संबंधी समस्या है, जो Shopware_Controllers_Backend_ProductStream कंट्रोलर की loadPreviewAction() विधि में sort पैरामीटर के माध्यम से उत्पन्न होती है, जिसके परिणामस्वरूप SimpleXMLElement ऑब्जेक्ट के इंस्टैंशिएशन के माध्यम से XXE उत्पन्न होता है।
स्रोत
modules/exploits/multi/http/shopware_createinstancefromnamedarguments_rce.rb
Metasploit Framework modulesघोषित शर्तें
- platform: PHP($.exploit_multi/http/shopware_createinstancefromnamedarguments_rce.platform)
- verification: check_declared($.exploit_multi/http/shopware_createinstancefromnamedarguments_rce.check)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।