Podatność CVE-2014-9521

Podatność CVE-2014-9521

Publikacja: 2015-01-05 Modyfikacja: 2015-01-06

Opis:

Unrestricted file upload vulnerability in uploadScript.php in InfiniteWP Admin Panel before 2.4.4, when the allWPFiles query parameter is set, allows remote attackers to execute arbitrary code by uploading a file with a double extension, then accessing it via a direct request to the file in the uploads directory, as demonstrated by the .php.swp filename.

Typ:

CWE-94

(Improper Control of Generation of Code ('Code Injection'))

CVSS2 => (AV:N/AC:L/Au:N/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
7.5/10	6.4/10	10/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Infinitewp -> Infinitewp admin panel

Referencje:

https://lifeforms.nl/20141210/infinitewp-vulnerabilities/

http://seclists.org/fulldisclosure/2014/Dec/43

Copyright 2024, cxsecurity.com