Vulnerabilidad en el back-end en el generador de formularios en Contao (CVE-2019-19745)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-434
Subida sin restricciones de ficheros de tipos peligrosos
Fecha de publicación:
17/12/2019
Última modificación:
18/12/2019
Descripción
Contao versiones 4.0 hasta 4.8.5, permite una inclusión de archivos locales PHP. Un usuario del back-end con acceso al generador de formularios puede cargar archivos arbitrarios y ejecutarlos sobre el servidor.
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Puntuación base 2.0
6.50
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:contao:contao:*:*:*:*:*:*:*:* | 4.4 (incluyendo) | 4.4.45 (incluyendo) |
| cpe:2.3:a:contao:contao:*:*:*:*:*:*:*:* | 4.8 (incluyendo) | 4.8.5 (incluyendo) |
| cpe:2.3:a:contao:contao:4.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:contao:contao:4.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:contao:contao:4.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:contao:contao:4.3:*:*:*:*:*:*:* | ||
| cpe:2.3:a:contao:contao:4.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:contao:contao:4.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:contao:contao:4.7:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página



