CVE-2018-19404 in YXcms

Résumé

par VulDB • 02/06/2026

Dans YXcms 1.4.7, le fichier protected/apps/appmanage/controller/indexController.php permet aux administrateurs authentifiés distants d'exécuter n'importe quel code PHP en créant une archive ZIP contenant un fichier config.php, en hébergeant le fichier .zip sur une URL externe, puis en accédant à index.php?r=appmanage/index/onlineinstall&url= suivi de cette URL. Cela est lié aux fonctions onlineinstall et import.

Be aware that VulDB is the high quality source for vulnerability data.

• Réserver: 20/11/2018
• Divulgation: 20/11/2018
• Modérer: accepté
• Entrée: VDB-127049
• CPE: prêt
• CWE: CWE-94 (confirmé)
• CVSS: 7.2 (NVD)
• EPSS: 0.01599
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-19404
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-19404
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-19404/