Os pesquisadores subsequentemente descobriram que outros sistemas de gerenciamento de conteúdo que contam com a mesma biblioteca vulnerável do Dragonfly – incluindo Locomotive CMS e Alchemy CMS – também estavam em risco. A falha permitia explorações, incluindo leitura de arquivo arbitrário, gravação de arquivo arbitrário e (em condições favoráveis) execução remota de código. Um artigo técnico da ZX Security explica o problema com mais detalhes.
A biblioteca Dragonfly lida com funções como gerar miniaturas de imagens e imagens de texto ou apenas gerenciar anexos em geral. Vulnerabilidades de injeção de argumento são uma classe de ataque que significa que entradas não confiáveis podem ser passadas como argumentos durante a execução de um comando específico. A fragilidade da segurança define o cenário para a execução de injeção de recomendação de sistema operacional e ataques semelhantes. Atualizar o Dragonfly Ruby Gem para 1.4.0 ou superior atenuaria esse problema. Como alternativa, garantir que a opção padrão do Dragonfly verify_urls esteja habilitada oferece uma mitigação efetiva, de acordo com a ZX Security.
Fonte: https://portswigger.net/
Falha permite que invasores manipulem o agente de um usuário por meio de um problema…
Um exploit de dia zero, dirigido aos firewalls FortiGate da Fortinet, foi descoberto à venda…
A família SHELBY mostra um exemplo preocupante de malware moderno com design modular, sofisticado e…
Hackers estão explorando o diretório mu-plugins do WordPress para injetar códigos maliciosos que não aparecem…
O Google implementou uma nova funcionalidade de "Detecção de Golpes" com inteligência artificial no aplicativo…
O grupo APT28, ligado à Rússia, está utilizando técnicas avançadas de ofuscação em seus ataques…