Vulnerabilidad en MelisFront (CVE-2022-39298)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

12/10/2022

Última modificación:

13/10/2022

Descripción

MelisFront es el motor que muestra las páginas web alojadas en la Plataforma Melis. Es encargada de mostrar las páginas, los plugins, la reescritura de URL, la optimización de las búsquedas y el SEO, etc. Los atacantes pueden deserializar datos arbitrarios en las versiones afectadas de "melisplatform/melis-front", y en última instancia conlleva a una ejecución de código PHP arbitrario en el sistema. La realización de este ataque no requiere autenticación. Los usuarios deben actualizar inmediatamente a "melisplatform/melis-front" versiones posteriores a 5.0.1 incluyéndola. Este problema ha sido abordado al restringir las clases permitidas cuando son deserializados los datos controlados por el usuario

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto