CVE-2017-16920
KrytyczneStreszczenie
W systemie dayrui FineCms w wersji 5.2.0 plik v5/config/system.php zawiera domyślną wartość SYS_KEY i nie wymaga regeneracji klucza przy każdej instalacji. To umożliwia zdalnym atakującym przesyłanie dowolnych plików .php poprzez akcję swfupload w API członków do index.php.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przesyłania złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem i wycieku danych.
Rekomendacja
Zaleca się zmianę domyślnej wartości SYS_KEY oraz wprowadzenie mechanizmu wymuszającego regenerację klucza przy każdej instalacji.
Oryginalny opis (angielski, źródło NVD)
v5/config/system.php in dayrui FineCms 5.2.0 has a default SYS_KEY value and does not require key regeneration for each installation, which allows remote attackers to upload arbitrary .php files via a member api swfupload action to index.php.