CVE-2017-16903
KrytyczneStreszczenie
LvyeCMS w wersji do 3.1 umożliwia zdalnym atakującym przesyłanie i wykonywanie dowolnego kodu PHP poprzez sekwencje przejścia katalogów w parametrze dir, w połączeniu z kodem PHP w parametrze content, w ramach żądania dodania stylu szablonu do index.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem i dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację LvyeCMS do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów zabezpieczających przed atakami typu directory traversal.
Oryginalny opis (angielski, źródło NVD)
LvyeCMS through 3.1 allows remote attackers to upload and execute arbitrary PHP code via directory traversal sequences in the dir parameter, in conjunction with PHP code in the content parameter, within a template Style add request to index.php.