CVE-2022-26352
Оценки
Оценка EPSS
0.9433
CVSS
3.x 9.8
Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Все оценки CVSS
Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Вектор: AV:N/AC:M/Au:N/C:P/I:P/A:P
Описание
Обнаружена проблема в ContentResource API в dotCMS 3.0 до 22.02. Злоумышленники могут создать многокомпонентный запрос формы для публикации файла, имя которого изначально не было обработано. Это позволяет выполнить обход каталогов, при котором файл сохраняется за пределами предполагаемого места хранения. Если включено анонимное создание контента, это позволяет неаутентифицированному злоумышленнику загрузить исполняемый файл, такой как файл .jsp, что может привести к удаленному выполнению кода.
Источники
Связанные уязвимости
Эксплойты
ID эксплойта: CVE-2022-26352
Источник: cisa
URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Уязвимое ПО
Тип: Конфигурация
Поставщик: dotcms
Продукт: dotcms
Операционная система: * * *
{
"cpe_match": [
{
"cpe23uri": "cpe:2.3:a:dotcms:dotcms:*:*:*:*:*:*:*:*",
"versionEndIncluding": "22.02",
"versionStartIncluding": "3.0",
"vulnerable": true
}
],
"operator": "OR"
}Источник: nvd