CVE-2019-19511

Chevereto - 1.0.0 Free - 1.1.4 Free, <= 3.13.4 Core, удаленное выполнение кода

Описание

installer.php в Chevereto вплоть до версии 1.1.4 Free и до версии 3.13.4 Core позволяет удаленным аутентифицированным администраторам выполнять произвольный PHP-код, внедряя этот код в процесс установки и перезаписывая файл settings.php, который затем будет содержать внедренный код. Поскольку settings.php перезаписывается, это также сбрасывает приложение и приводит его в состояние отказа в обслуживании до тех пор, пока настройки не будут восстановлены.

Ссылка

https://github.com/Chevereto/Chevereto-Free/blob/1.1.4/app/install/installer.php#L736