CVE-2021-44912 in XpressEngine

요약

\~에 의해 VulDB • 2026. 06. 04.

XE 1.116에서 Normal 버튼을 업로드할 때 파일 접미사에 대한 제한이 없어 모든 파일이 files 디렉토리에 업로드됩니다. .htaccess는 PHP 유형만 제한하므로, HTML 유형의 파일을 업로드하면 저장형 XSS(Stored XSS) 취약점이 발생합니다. 만약 XE 1.11.2 이전 버전과 같이 .htaccess 구성이 부적절하다면 PHP 유형 파일을 업로드하여 GETSHELL을 달성할 수 있습니다.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• 예약하다: 2021. 12. 13.
• 공개: 2022. 02. 09.
• 모더레이션: 수락
• 항목: VDB-192614
• CPE: 준비됨
• CWE: CWE-434 (확인됨)
• CVSS: 5.5 (VulDB)
• EPSS: 0.00487
• KEV: 아니요
• 활동: 매우 낮음

출처

• MITRE: https://www.cve.org/CVERecord?id=CVE-2021-44912
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-44912
• CVE Details: https://www.cvedetails.com/cve/CVE-2021-44912/