Schlix CMS 2.2.6-6 contains a remote code execution vulnerab…(CVE-2021-47964・CVSS 8.8)

概要

Schlix CMS 2.2.6-6 contains a remote code execution vulnerability that allows authenticated...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Schlix CMS 2.2.6-6 contains a remote code execution vulnerability that allows authenticated attackers to execute arbitrary PHP code by uploading malicious extension packages through the block manager. Attackers can upload a crafted ZIP file containing PHP code in the packageinfo.inc file and trigger execution by accessing the About tab of the installed extension.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Schlix CMS 2.2.6-6には、認証済みの攻撃者が悪意のある拡張パッケージをアップロードすることで任意のPHPコードを実行できるリモートコード実行の脆弱性があります。攻撃者は特殊なZIPファイルをアップロードし、拡張機能の「About」タブにアクセスすることでこの脆弱性を利用できます。

❓ 何が問題か

Schlix CMS 2.2.6-6での任意コード実行の脆弱性。

📍 影響範囲

Schlix CMS 2.2.6-6のBlock Manager。

🔥 重要度

認証済みの攻撃者によりPHPコードが実行され、システムが乗っ取られる可能性があります。

🔧 修正方法

この脆弱性を解消するには、CMSの最新バージョンにアップデートする必要があります。

🛡️ 暫定回避

現在のところ、ワークアラウンドは存在しません。適切なアクセス制御を確認してください。

🔍 検知方法

Schlix CMSのBlock Managerを調査し、不正な拡張機能のインストールやZIPファイルのアップロードをチェックします。