Remote Code Execution und Local File Disclosure In Zeta Producer Desktop CMS

Title

Remote Code Execution & Local File Disclosure

Product

Zeta Producer Desktop CMS

Vulnerable Version

<=14.2.0

Fixed Version

>=14.2.1

CVE Number

CVE-2018-13981, CVE-2018-13980

Impact

critical

Homepage

https://www.zeta-producer.com

Found

24.11.2017

By

P. Morimoto (Office Bangkok) | SEC Consult Vulnerability Lab

Zeta Producer Desktop CMS ist ein Windows-Client zur Erstellung von Websites. Leider sind die Websites, die mit dieser Software erstellt wurden, aufgrund einer Standardkomponente, die das willkürliche Hochladen von PHP-Dateien erlaubt, anfällig für nicht authentifizierte remote Code Execution. Außerdem können lokale Dateien aus dem Betriebssystem offengelegt werden.

Zum vollständigen Advisory (Englisch). 

EOF P. Morimoto / @2018

 

Interesse an einer Zusammenarbeit mit den Experten von SEC Consult? Senden Sie uns Ihre Bewerbung.
Möchten Sie Ihre eigene Cyber-Sicherheit mit den Experten von SEC Consult verbessern? Kontaktieren Sie unsere lokalen Büros.

Zurück