Aktywnie wykorzystywana w atakach
PlaySMS Server-Side Template Injection Vulnerability
PlaySMS - PlaySMS · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-8644
KrytyczneCVSS 9.8KEVStreszczenie
PlaySMS przed wersją 1.4.3 nie sanityzuje danych wejściowych złośliwego ciągu znaków.
Ocena ryzyka
Atakujący może wprowadzić złośliwe dane, potencjalnie prowadząc do wykonania kodu lub innych ataków, zagrażając systemowi PlaySMS.
Rekomendacja
Zaktualizuj PlaySMS do wersji 1.4.3 lub nowszej, aby naprawić brak sanityzacji danych wejściowych.
Inne podatności w PlaySMS
Zobacz wszystkie- CVE-2017-9080Wysokie
PlaySMS w wersji 1.4 umożliwia zdalne wykonanie kodu z powodu wykonania kodu PHP w nazwie przesłanego pliku .php. Problem wynika z połączenia nieograniczonego przesyłania plików i wstrzykiwania kodu.
- CVE-2017-9101Krytyczne
W PlaySMS 1.4 funkcja importu (import.php) umożliwia zdalne wykonanie kodu poprzez wykorzystanie nagłówka User-Agent HTTP oraz kodu PHP w nazwie pliku.
Oryginalny opis (angielski, źródło NVD)
PlaySMS before 1.4.3 does not sanitize inputs from a malicious string.