CVE-2018-20159
i-doit open 1.11.2 ZIP अभिलेखों के गलत प्रबंधन के कारण रिमोट कोड एक्सेक्यूशन (Remote Code Execution) की अनुमति देता है। इसमें एक अपलोड सुविधा है जो प्रशासक (administrator) भूमिका वाले प्रमाणित उपयोगकर्ता को...
- प्रकाशित
- 15 दिस॰ 2018
- अद्यतन
- 16 सित॰ 2024
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 9 दिस॰ 2018
प्राथमिक सीवीएसएस
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 95.5%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
i-doit open 1.11.2 ZIP अभिलेखों के गलत प्रबंधन के कारण रिमोट कोड एक्सेक्यूशन (Remote Code Execution) की अनुमति देता है। इसमें एक अपलोड सुविधा है जो प्रशासक (administrator) भूमिका वाले प्रमाणित उपयोगकर्ता को मुख्य वेबसाइट निर्देशिका में मनमानी फ़ाइलें अपलोड करने की अनुमति देती है। शोषण (exploitation) में ".zip" फ़ाइल के भीतर ".php" फ़ाइल अपलोड करना शामिल है, क्योंकि एक ZIP अभिलेख को /admin/?req=modules&action=add द्वारा प्लगइन के रूप में स्वीकार किया जाता है और मुख्य निर्देशिका में निकाला जाता है। ".zip" फ़ाइल को स्वीकार करने के लिए, उसमें package.json फ़ाइल भी होनी चाहिए।
स्रोत
AkkuS · php · 9 दिस॰ 2018
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।