Descripción
DedeCMS hasta la versión 5.8.1-beta contiene una vulnerabilidad de inyección de código PHP en ShowMsg(), donde el encabezado HTTP Referer se escribe en una cadena DedeTemplate y se incluye. Atacantes no autenticados pueden enviar un Referer especialmente manipulado a /plus/flink.php?dopost=save con un código de validación vacío para ejecutar código PHP arbitrario y comandos del sistema. La Shadowserver Foundation observó por primera vez evidencia de explotación el 2023-10-14.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- DedeCMS Afectadas: hasta 5.8.1-beta
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadosrcincite.io/blog/2021/09/30/chasing-a-dream-pwning-the-biggest-cms-i…
- Referencia en github.comgithub.com/dedecms/DedeCMS/blob/v5.8.1/include/common.func.php
- Referencia en github.comgithub.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabi…
- Aviso de vulncheck.comvulncheck.com/advisories/dedecms-5.8.1-beta-unauthenticated-rce-via-p…
Ver el texto original en inglés (CVE.org)
DedeCMS 5.8.1-beta Unauthenticated RCE via plus/flink.php
DedeCMS through 5.8.1-beta contains a PHP code injection vulnerability in ShowMsg() where the HTTP Referer header is written into a DedeTemplate string and included. Unauthenticated attackers can send a crafted Referer to /plus/flink.php?dopost=save with an empty validate code to execute arbitrary PHP and system commands. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.