PHP-Fusion远程代码执行误差清静通告

宣布时间 2019-05-22

误差编号和级别


CVE编号：CVE-2019-12099，危险级别：高级，CVSS分值：8.8


影响版本


受影响的版本

PHP-Fusion 9.03.00


误差概述


PHP-Fusion是一个轻量级开源内容管理系统。它接纳mySQL数据库存储网站内容并提供一个简朴，周全的后台管理系统。PHP-Fusion包括大大都CMS系统所具有的功效。简约而不简朴。

在php fusion 9.03.00中，edit_profile.php允许远程经由身份验证的用户执行恣意代码，由于includes/dynamics/includes/form_fileinput.php和includes/classes/phpfusion/installer/lib/core.settings.inc在上传avatar时代过失处置惩罚了可执行文件。


误差验证


EXP：https://www.exploit-db.com/exploits/46839。


修复建议


现在厂商已宣布升级补丁以修复误差，补丁获取链接：https://github.com/php-fusion/PHP-Fusion/commit/943432028b9e674433bb3f2a128b2477134110e6。


参考链接


https://github.com/php-fusion/PHP-Fusion/commit/943432028b9e674433bb3f2a128b2477134110e6
https://www.pentest.com.tr/exploits/PHP-Fusion-9-03-00-Edit-Profile-Remote-
Code-Execution.html
https://www.exploit-db.com/exploits/46839