CVE-2022-0895

Static Code Injection w Microweber umożliwia zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2022-03-10upd. 2024-11-21

W platformie CMS Microweber w wersjach wcześniejszych niż 1.3 wykryto podatność typu Static Code Injection (CWE-96), umożliwiającą wstrzyknięcie złośliwego kodu po stronie serwera. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL) i może być wykorzystana zdalnie bez żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

Static Code Injection in GitHub repository microweber/microweber prior to 1.3.

🤖 Analiza AI

Jak działa

Podatność polega na możliwości wstrzyknięcia statycznego kodu (Static Code Injection) do plików lub struktur danych przetwarzanych przez aplikację. Atakujący, bez konieczności posiadania konta ani interakcji ze strony użytkownika, może dostarczyć spreparowane dane wejściowe, które zostaną zapisane i następnie wykonane przez serwer jako kod. Mechanizm ten odpowiada wektorowi sieciowemu bez wymagań dotyczących uprawnień (AV:N/AC:L/PR:N/UI:N).

Skutki

Skuteczne wykorzystanie podatności może prowadzić do pełnego przejęcia kontroli nad serwerem, w tym do uzyskania poufnych danych, modyfikacji zawartości aplikacji oraz zakłócenia jej dostępności (pełna trójka C:H/I:H/A:H).

Mitygacja

Należy niezwłocznie zaktualizować Microweber do wersji 1.3 lub nowszej. Poprawka została wprowadzona w commicie b2baab6e582b2efe63788d367a2bb61a2fa26470 w repozytorium GitHub projektu.

Kogo dotyczy

Microweber CMS w wersjach wcześniejszych niż 1.3

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (program bug bounty). Szczegóły dostępne pod adresem: https://huntr.dev/bounties/3c070828-fd00-476c-be33-9c877172363d