Craft 可能因缺少路径规范化和 Twig SSTI 而导致远程代码执行（CVE-2024-52293）
CVE编号
CVE-2024-52293利用情况
暂无补丁情况
N/A披露时间
2024-11-14漏洞描述
Craft 是一个内容管理系统（CMS）。在 4.12.2 和 5.4.3 之前，Craft 在 FileHelper::absolutePath 函数中缺少 normalizePath，可能导致通过 Twig SSTI 在服务器上执行远程代码。这是 CVE-2023-40035 的延续。此漏洞已在 4.12.2 和 5.4.3 中得到修复。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/craftcms/cms/commit/123e48a696de1e2f63ab519d4730eb3b87beaa58 | |
| https://github.com/craftcms/cms/security/advisories/GHSA-f3cw-hg6r-chfv |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
| CWE-22 | 对路径名的限制不恰当（路径遍历） |
Exp相关链接
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论