PHP-Fusion远程代码执行缝隙安全公告

颁布功夫 2019-05-22

缝隙编号和级别


CVE编号：CVE-2019-12099，危险级别：高级，CVSS分值：8.8


影响版本


受影响的版本

PHP-Fusion 9.03.00


缝隙概述


PHP-Fusion是一个轻量级开源内容治理系统。它选取mySQL数据库存储网站内容并提供一个单一，全面的后盾治理系统。PHP-Fusion蕴含大无数CMS系统所拥有的职能。简约而不单一。

在php fusion 9.03.00中，edit_profile.php允许远程经过身份验证的用户执行肆意代码，由于includes/dynamics/includes/form_fileinput.php和includes/classes/phpfusion/installer/lib/core.settings.inc在上传avatar期间谬误处置了可执行文件。


缝隙验证


EXP：https://www.exploit-db.com/exploits/46839。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：https://github.com/php-fusion/PHP-Fusion/commit/943432028b9e674433bb3f2a128b2477134110e6。


参考链接


https://github.com/php-fusion/PHP-Fusion/commit/943432028b9e674433bb3f2a128b2477134110e6
https://www.pentest.com.tr/exploits/PHP-Fusion-9-03-00-Edit-Profile-Remote-
Code-Execution.html
https://www.exploit-db.com/exploits/46839