CVE-2017-8868
WysokieStreszczenie
W pliku acp/core/files.browser.php w flatCore 1.4.7 występuje podatność umożliwiająca usunięcie plików poprzez atak typu directory traversal w parametrze delete w acp/acp.php. Ryzyko może być ograniczone do żądań przesyłanych przez CSRF.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane usunięcie plików, co może prowadzić do utraty danych lub zakłócenia działania systemu. Potencjalne ataki mogą być realizowane przez złośliwe skrypty wykorzystujące CSRF.
Rekomendacja
Zaleca się wprowadzenie odpowiednich zabezpieczeń przed atakami CSRF oraz walidację parametrów wejściowych w celu zapobiegania atakom typu directory traversal.
Inne podatności w flatCore 1.4.7
Zobacz wszystkie- CVE-2017-7879Wysokie
Podatność na wstrzykiwanie SQL w flatCore w wersji 1.4.6 umożliwia atakującemu odczytanie zawartości bazy danych.
- CVE-2017-7877Wysokie
Podatność CSRF w flatCore w wersji 1.4.6 umożliwia zdalnym atakującym modyfikację konfiguracji CMS.
- CVE-2017-7878Krytyczne
Podatność typu SQL Injection w flatCore w wersji 1.4.6 umożliwia atakującemu odczyt i zapis do bazy danych użytkowników.
Oryginalny opis (angielski, źródło NVD)
acp/core/files.browser.php in flatCore 1.4.7 allows file deletion via directory traversal in the delete parameter to acp/acp.php. The risk might be limited to requests submitted through CSRF.