CVE-2022-29221
PHP कोड इंजेक्शन Smarty में दुर्भावनापूर्ण ब्लॉक या फ़ाइलनाम द्वारा
- प्रकाशित
- 24 मई 2022
- अद्यतन
- 23 अप्रैल 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 92.0%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Smarty PHP के लिए एक टेम्पलेट इंजन है, जो प्रस्तुति (HTML/CSS) को एप्लिकेशन लॉजिक से अलग करने की सुविधा प्रदान करता है। संस्करण 3.1.45 और 4.1.1 से पहले, टेम्पलेट लेखक एक दुर्भावनापूर्ण {block} नाम या {include} फ़ाइल नाम चुनकर php कोड इंजेक्ट कर सकते थे। जो साइटें टेम्पलेट लेखकों पर पूरी तरह भरोसा नहीं कर सकतीं, उन्हें इस समस्या के लिए पैच प्राप्त करने हेतु संस्करण 3.1.45 या 4.1.1 में अपग्रेड करना चाहिए। वर्तमान में कोई ज्ञात वर्कअराउंड नहीं हैं।
स्रोत
CVE-2022-29221 प्रूफ ऑफ कॉन्सेप्ट कोड - Smarty RCE
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।