lingchul/cve_poc_testPoC exploit per CVE-2019-13086 che mira a vulnerabilità di SQL injection e upload di file in CSZ CMS. Include configurazione sperimentale e codice di riproduzione per test di sicurezza.
Riproduzione della vulnerabilità CVE-2019-13086 e codice PoC sperimentale
Informazioni CVE originali: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-13086
Ambiente sperimentale: Architettura CSZ CMS+php5.4+MySQL 5.5+Apache 2.4
Tipo di vulnerabilità: Vulnerabilità di SQL injection Vulnerabilità di upload di file
Breve descrizione: Nella funzione csrf_show_error di \cszcms\cszcms\core\MY_Security.php Il campo User-Agent del pacchetto HTTP viene aggiunto alla query del database senza alcun controllo del contenuto Questo rappresenta un punto in cui è possibile costruire un'iniezione SQL
Misure difensive: naturalmente, modificare subito il codice sorgente aggiungendo il controllo del campo UA del pacchetto HTTP!
