CutePHP CuteNews à 2.1.2 index.php avatar_file elévation de privilèges

entréeeditHistoryDiffjsonxmlCTI

CVSS Meta Temp Score	Exploit Prix Actuel (≈)	CTI Interest Score
6.8	$0-$5k	0.16

Une vulnérabilité qui a été classée critique a été trouvée dans CutePHP CuteNews à 2.1.2 (Content Management System). Affecté par ce problème est une fonction inconnue du fichier index.php?mod=main&opt=personal. La manipulation du paramètre avatar_file avec une valeur d'entrée inconnue mène à une vulnérabilité de classe elévation de privilèges.

Le bug a été découvert sur 15/04/2019. La vulnerabilité a été publié en 22/04/2019 avec le numéro d'identification EDB-46698 avec exploit (Exploit-DB) (non défini). La notice d'information est disponible en téléchargement sur exploit-db.com Cette vulnérabilité est connue comme CVE-2019-11447. Il est possible d'initialiser l'attaque à distance. Une seule session d'authentification est requise pour l'exploitation. Des details techniques et un publique exploit sont connus.

Après immédiatement un exploit a été rendu public. Il est déclaré comme proof-of-concept. L'exploit est disponible au téléchargment sur exploit-db.com. Cette vulnérabilité a été classée comme 0-day non publique pendant au moins 7 jours.

Il n'y a aucune information à propos de possibles contremesures connues. Il est suggéré de remplacer l'object infecté par un produit alternatif.

Produitinfoedit

Taper

Content Management System

Fournisseur

CutePHP

Name

CuteNews

CPE 2.3infoedit

CPE 2.2infoedit

CVSSv3infoedit

VulDB Meta Base Score: 7.5
VulDB Meta Temp Score: 6.8

VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Fiabilité: 🔍

NVD Base Score: 8.8
NVD Vector: 🔍

CVSSv2infoedit

AV	AC	Au	C	I	A
🔍	🔍	🔍	🔍	🔍	🔍
🔍	🔍	🔍	🔍	🔍	🔍
🔍	🔍	🔍	🔍	🔍	🔍

Vector	Complexity	Authentication	Confidentiality	Integrity	Availability
unlock	unlock	unlock	unlock	unlock	unlock
unlock	unlock	unlock	unlock	unlock	unlock
unlock	unlock	unlock	unlock	unlock	unlock

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Fiabilité: 🔍

NVD Base Score: 🔍

Exploitinginfoedit

Classe: Elévation de privilèges
CWE: CWE-434
ATT&CK: Inconnue

Localement: Non
Remote: Oui

Disponibilité: 🔍
Accéder: Publique
Status: Proof-of-Concept
Download: 🔍

Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍

0-Day	unlock	unlock	unlock	unlock
Aujourd'hui	unlock	unlock	unlock	unlock

Exploit-DB: 🔍

Threat Intelligenceinfoedit

Menace: 🔍
Les adversaires: 🔍
Géopolitique: 🔍
Économie: 🔍
Prédictions: 🔍
Contre-mesures: 🔍

Contre-mesuresinfoedit

Recommandé: aucune mesure d'atténuation connue
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Chronologieinfoedit

15/04/2019 🔍
21/04/2019 +6 jours 🔍
22/04/2019 +1 jours 🔍
22/04/2019 +0 jours 🔍
22/04/2019 +0 jours 🔍
23/04/2019 +1 jours 🔍
01/06/2020 +405 jours 🔍

Sourcesinfoedit

Bulletin: EDB-46698
Status: Non défini

CVE: CVE-2019-11447 (🔍)
OSVDB: 8833 - CuteNews avatar code execution

scip Labs: https://www.scip.ch/en/?labs.20161013

Entréeinfoedit

Établi: 23/04/2019 08:59 AM
Mise à jour: 01/06/2020 11:44 AM
Changements: (3) vulnerability_discoverydate source_osvdb source_osvdb_title
Compléter: 🔍