CVE-2017-9101
KrytyczneStreszczenie
W PlaySMS 1.4 funkcja importu (import.php) umożliwia zdalne wykonanie kodu poprzez wykorzystanie nagłówka User-Agent HTTP oraz kodu PHP w nazwie pliku.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji PlaySMS oraz monitorowanie i filtrowanie nagłówków HTTP w celu zminimalizowania ryzyka.
Inne podatności w PlaySMS 1.4
Zobacz wszystkie- CVE-2017-9080Wysokie
PlaySMS w wersji 1.4 umożliwia zdalne wykonanie kodu z powodu wykonania kodu PHP w nazwie przesłanego pliku .php. Problem wynika z połączenia nieograniczonego przesyłania plików i wstrzykiwania kodu.
- CVE-2020-8644KrytyczneAktywnie exploitowane
PlaySMS przed wersją 1.4.3 nie sanityzuje danych wejściowych złośliwego ciągu znaków.
Oryginalny opis (angielski, źródło NVD)
import.php (aka the Phonebook import feature) in PlaySMS 1.4 allows remote code execution via vectors involving the User-Agent HTTP header and PHP code in the name of a file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS