CVE-2023-27372
SPIP 4.2.1 से पहले के संस्करण सार्वजनिक क्षेत्र में फ़ॉर्म मानों के माध्यम से रिमोट कोड निष्पादन (Remote Code Execution) की अनुमति देते हैं, क्योंकि सीरियलाइज़ेशन को गलत तरीके से संभाला जाता है। सिद्ध संस्करण 3.2.18, 4.0.10,...
- प्रकाशित
- 28 फ़र॰ 2023
- अद्यतन
- 11 मार्च 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 20 जून 2023
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 100.0%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
SPIP 4.2.1 से पहले के संस्करण सार्वजनिक क्षेत्र में फ़ॉर्म मानों के माध्यम से रिमोट कोड निष्पादन (Remote Code Execution) की अनुमति देते हैं, क्योंकि सीरियलाइज़ेशन को गलत तरीके से संभाला जाता है। सिद्ध संस्करण 3.2.18, 4.0.10, 4.1.8 और 4.2.1 हैं।
स्रोत
- SPIP form PHP Injectionमॉड्यूल
modules/exploits/multi/http/spip_rce_form.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,PHP,Unix,Windows($.exploit_multi/http/spip_rce_form.platform)
- verification: check_declared($.exploit_multi/http/spip_rce_form.check)
- SPIP - Remote Command Executionटेम्पलेट
http/cves/2023/CVE-2023-27372.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।