CVE-2019-19511

Chevereto - 1.0.0 Free - 1.1.4 Free, <= 3.13.4 Core, 원격 코드 실행

설명

Chevereto 1.1.4 Free 이하 및 3.13.4 Core 이하 버전의 installer.php는 인증된 원격 관리자가 setup 과정에 임의의 PHP 코드를 주입하고 settings.php 파일을 덮어쓰게 하여, 해당 파일에 주입된 코드가 포함되도록 합니다. settings.php가 덮어쓰여지므로 애플리케이션이 초기화되어 설정이 복원될 때까지 서비스 거부 상태가 됩니다.

참조

https://github.com/Chevereto/Chevereto-Free/blob/1.1.4/app/install/installer.php#L736