CVE-2019-19511

Chevereto - 1.0.0 Free - 1.1.4 Free，<= 3.13.4 Core，远程代码执行

描述

Chevereto 1.1.4 Free 及之前版本，以及 3.13.4 Core 及之前版本中的 installer.php 允许远程认证管理员通过将任意 PHP 代码注入安装过程并覆盖 settings.php 文件来执行该代码，settings.php 随后将包含被注入的代码。由于 settings.php 被覆盖，应用程序也会被重置并进入拒绝服务状态，直到设置被恢复。

参考

https://github.com/Chevereto/Chevereto-Free/blob/1.1.4/app/install/installer.php#L736