BDU:2023-01042

Уязвимость WYSIWYG-редактора Ckeditor, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом. позволяющая нарушителю загрузить произвольные файлы

Опубликовано: 2023-03-06

Описание

Уязвимость WYSIWYG-редактора Ckeditor связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, загрузить произвольные файлы

Затрагиваемое ПО и версии

Debian GNU/Linux (5)CKEditor (до 2.6.4 включительно)Fedora (10)Fedora (11)

Способ устранения

Использование рекомендаций:
Для CKEditor:
http://www.ocert.org/advisories/ocert-2009-007.html
https://github.com/0xkasra/CVE-2009-2265

Для Debian GNU/Linux:
http://www.debian.org/security/2009/dsa-1836

Для Fedora:
https://www.redhat.com/archives/fedora-package-announce/2009-July/msg00710.html
https://www.redhat.com/archives/fedora-package-announce/2009-July/msg00750.html

Оценка CVSS

Балл	7.5 — высокая опасность

Источники и патчи

http://isc.sans.org/diary.html?storyid=6724 http://mail.zope.org/pipermail/zope-dev/2009-July/037195.html http://packetstormsecurity.com/files/163271/Adobe-ColdFusion-8-Remote-Command-Execution.html http://sourceforge.net/project/shownotes.php?release_id=695430 http://www.debian.org/security/2009/dsa-1836 http://www.ocert.org/advisories/ocert-2009-007.html Пластырь http://www.securityfocus.com/archive/1/504721/100/0/threaded http://www.securitytracker.com/id?1022513

Проверьте безопасность своего сайта и почты → Полная проверка домена