segurança IPS Community Suite < 4.1.12.3 Code Injection

[Ishayano 5]

A versão 4.1.12.3 da Community Suite da IPS contém um erro, o qual possibilita o usuário injetar códigos PHP, assim, podendo executar comandos dentro do servidor.

 

O que é enviado pelo usuario através do parametro de requisito "content_class" não é checado antes de ser usado na função "class_exist()" na linha 40. A vulnerabilidade pode ser utilizada por usuários não autenticados

 

• Código vulnerável: /applications/core/modules/front/system/content.php
  
• CVE:
  É necessário se cadastrar para acessar o conteúdo.

  • Entre
  • ou
  • Cadastre-se
  
  
• Prova de funcionalidade:
  É necessário se cadastrar para acessar o conteúdo.

  • Entre
  • ou
  • Cadastre-se
  
  

 

content.php

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se