CNVD-C-2020-121325 | 禅路文件上传缝隙公告
颁布功夫 2020-10-270x00 缝隙概述
CNVD ID | CNVD-C-2020-121325 | 时 间 | 2020-10-27 |
类 型 | 文件上传 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | 禅路开源版 12.3.3、12.4.1、12.4.2 |
禅路是第一款国产的开源项目治理软件，其使用zentaophp框架开发，内置了测试治理、打算治理、颁布治理、文档治理、事务治理等产品治理和项目治理职能，并为每一个页面提供json接口的api，方便与其它说话挪用交互 。内置多说话、多风格、搜索职能、统计职能等多种实用职能 。
0x01 缝隙详情
2020年10月14日，禅路官网颁布安全布告，禅路开源项目治理软件中存在一个文件上传缝隙（CNVD-C-2020-121325） 。攻击者能够通过fopen/fread/fwrite步骤结合File、FTP等和谈读取或上传肆意文件 。成功利用此缝隙的攻击者可获得指标系统敏感文件及系统治理权限 。
0x02 措置建议
目前禅路官网已经颁布了安全版本，建议实时更新至12.4.3 。
下载地址：
https://www.zentao.net/download/zentaopms12.4.3-80272.html
0x03 参考链接
https://www.zentao.net/dynamic/zentaopms12.4.3-80272.html
https://www.zentao.net
0x04 功夫线
2020-10-16 禅路颁布安全布告
2020-10-27 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号