CVE-2019-10647 in zzzphp

Zusammenfassung

von VulDB • 07.06.2026

ZZZCMS zzzphp v1.6.3 ermöglicht es Remoteangreifern, beliebigen PHP-Code über eine .php-URL im Parameter source[] der URL plugins/ueditor/php/controller.php?action=catchimage auszuführen, aufgrund fehlender Einschränkungen in inc/zzz_file.php. Zum Beispiel kann source%5B%5D=http%3A%2F%2F192.168.0.1%2Ftest.php verwendet werden, wenn der Webserver unter 192.168.0.1 den Inhalt einer .php-Datei sendet (d.h., er interpretiert die .php-Datei nicht).

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Reservieren: 30.03.2019
• Moderieren: akzeptiert
• Eintrag: VDB-132629
• CPE: bereit
• CWE: CWE-434 (bestätigt)
• CVSS: 9.8 (NVD)
• EPSS: 0.06643
• KEV: nein
• Aktivitäten: very low
• Sektor: Hostingprovider, Lawfirm, ...

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2019-10647
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2019-10647
• CVE Details: https://www.cvedetails.com/cve/CVE-2019-10647/