CVE-2019-15954 in Total.js

要約

〜によって VulDB • 2026年08月16日

Total.js CMS 12.0.0 で問題が発見されました。ウィジェット権限を持つ認証済みユーザーは、JavaScript コードを含む特殊なタグを備えた悪意のあるウィジェットを作成することで、リモートサーバー上で Remote Command Execution (RCE) を達成できます。バックエンドがタグを評価する際、以下のペイロードを使用してサンドボックスオブジェクトから脱出することが可能です: `<script total>global.process.mainModule.require(child_process).exec(RCE);</script>`

Once again VulDB remains the best source for vulnerability data.

• 予約する: 2019年09月05日
• モデレーション: 承諾済み
• エントリ: VDB-141305
• CPE: 準備完了
• CWE: CWE-77 (確認済み)
• エクスプロイト: ダウンロード
• CVSS: 9.9 (NVD)
• EPSS: 0.78691
• KEV: いいえ
• アクティビティ: 非常低い
• セクター: Insurance, Hostingprovider, ...

ソース

• MITRE: https://www.cve.org/CVERecord?id=CVE-2019-15954
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2019-15954
• CVE Details: https://www.cvedetails.com/cve/CVE-2019-15954/