CVE-2018-16763 Evaluación de código PHP en FUEL CMS

Qué es CVE-2018-16763

FUEL CMS 1.4.1 permite la evaluación de código PHP mediante el parámetro de filtro pages/select/ o el parámetro de datos preview/, lo que puede derivar en ejecución remota de código sin autenticación previa.

Qué hacer

1. Verificá si usás el producto afectado.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• fahise/cve-2018-16763 ↗cve-2018-16763-exploitPUBLICADO 21 OCT · 04:42

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

FUEL CMS 1.4.1 allows PHP Code Evaluation via the pages/select/ filter parameter or the preview/ data parameter. This can lead to Pre-Auth Remote Code Execution.

Referencias

• github.com/daylightstudio/FUEL-CMS/issues/478X_REFSOURCE_MISC
• 0xd0ff9.wordpress.com/2019/07/19/from-code-evaluation-to-pre-auth-remote-code-execution-c…X_REFSOURCE_MISC
• www.exploit-db.com/exploits/47138EXPLOIT · X_REFSOURCE_EXPLOIT-DB
• packetstormsecurity.com/files/153696/fuelCMS-1.4.1-Remote-Code-Execution.htmlX_REFSOURCE_MISC
• packetstormsecurity.com/files/160080/Fuel-CMS-1.4-Remote-Code-Execution.htmlX_REFSOURCE_MISC
• packetstormsecurity.com/files/164756/Fuel-CMS-1.4.1-Remote-Code-Execution.htmlX_REFSOURCE_MISC

Historial de la alerta

1. 21 OCT · 04:42EXPLOIT PÚBLICO Se publicó el repositorio fahise/cve-2018-16763.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.