CVE-2021-44912 in XpressEngine

Riassunto

di VulDB • 20/06/2026

In XE 1.116, durante il caricamento del pulsante "Normal", non vi sono restrizioni sull'estensione del file, consentendo l'upload di qualsiasi file nella directory files. Poiché .htaccess limita solo i tipi PHP, il caricamento di file HTML comporta vulnerabilità XSS memorizzate (stored XSS). Se la configurazione di .htaccess è impropria, ad esempio nelle versioni precedenti a XE 1.116.2, è possibile caricare un file PHP per ottenere l'accesso al server (GETSHELL).

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Prenotare: 13/12/2021
• Divulgazione: 09/02/2022
• Moderazione: accettato
• Voce: VDB-192614
• CPE: pronto
• CWE: CWE-434 (confermato)
• CVSS: 5.5 (VulDB)
• EPSS: 0.00487
• KEV: no
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2021-44912
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-44912
• CVE Details: https://www.cvedetails.com/cve/CVE-2021-44912/