קטלוג CISA KEV
ניצול פעיל מאומת.
הפגיעות רשומה בקטלוג הפגיעויות המנוצלות (KEV) של CISA: תוקפים כבר מנצלים אותה בתקיפות אמיתיות. יש לטפל בה בעדיפות עליונה.
- שם
- dotCMS Unrestricted Upload of File Vulnerability
- נוסף לקטלוג
- יעד טיפול (פדרלי)
- פעולה נדרשת
- Apply updates per vendor instructions.
תיאור (מקור, אנגלית)
An issue was discovered in the ContentResource API in dotCMS 3.0 through 22.02. Attackers can craft a multipart form request to post a file whose filename is not initially sanitized. This allows directory traversal, in which the file is saved outside of the intended storage location. If anonymous content creation is enabled, this allows an unauthenticated attacker to upload an executable file, such as a .jsp file, that can lead to remote code execution.
מוצרים מושפעים
dotcms: dotcms
קישורים5
- packetstormsecurity.com/files/167365/dotCMS-Shell-Upload.html ExploitThird Party AdvisoryVDB Entry
- packetstormsecurity.com/files/167365/dotCMS-Shell-Upload.html ExploitThird Party AdvisoryVDB Entry
- groups.google.com/g/dotcms Permissions RequiredThird Party Advisory
- groups.google.com/g/dotcms Permissions RequiredThird Party Advisory
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve… US Government Resource
מדדים
- CVSS 3.1
-
9.8
CRITICAL
מקור הציון: NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - EPSS — סבירות ניצול
- 91% אחוזון 100 · נכון ל-2 בנובמבר 2026