CVE-2019-19511

Chevereto - 1.0.0 Free - 1.1.4 Free、<= 3.13.4 Core、リモートコード実行

説明

Chevereto 1.1.4 Free まで、および 3.13.4 Core までの installer.php は、リモートから認証された管理者が任意の PHP コードを実行することを許可します。このコードをセットアッププロセスに注入し、settings.php ファイルを上書きすることで、そのファイルに注入されたコードが含まれるようになります。settings.php が上書きされるため、アプリケーションもリセットされ、設定が復元されるまでサービス拒否状態になります。

参考

https://github.com/Chevereto/Chevereto-Free/blob/1.1.4/app/install/installer.php#L736