dotCMS · dotCMS

CVE-2022-26352

dotCMS Unrestricted Upload of File Vulnerability

Sfruttata in attacchi Usata dai ransomware Critica 9,8 Probabilità di attacco: 91%

Cos'è

An issue was discovered in the ContentResource API in dotCMS 3.0 through 22.02. Attackers can craft a multipart form request to post a file whose filename is not initially sanitized. This allows directory traversal, in which the file is saved outside of the intended storage location. If anonymous content creation is enabled, this allows an unauthenticated attacker to upload an executable file, such as a .jsp file, that can lead to remote code execution.

CISA: dotCMS ContentResource API contains an unrestricted upload of file with a dangerous type vulnerability that allows for directory traversal, in which the file is saved outside of the intended storage location. Exploitation allows for remote code execution.

Cosa fare

Apply updates per vendor instructions.

Scadenza per le agenzie federali USA: 15 settembre 2022

Aggiunta all'elenco CISA: 25 agosto 2022
Pubblicato: 17 luglio 2022
Gravità: Critica 9,8 CVSS 3.1
Probabilità di attacchi nei prossimi 30 giorni (EPSS): 91% tra il 0,2% più alto di tutte le vulnerabilità note
Tipo di debolezza: CWE-22 CWE-138
Più dettagli: NVD · CVE.org · CISA

Tutte le fonti (2)

Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.