Microweber 操作系统命令注入漏洞

CVE编号

CVE-2022-0557

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-02-11

漏洞描述

Microweber是美国Microweber社区的一套可提供拖拽功能的网上商店管理系统。该系统包括添加商品、图片等模块。
Microweber 中存在操作系统命令注入漏洞，该漏洞源于产品未对用户输入数据中的特殊字符做有效过滤。攻击者可通过该漏洞执行客户端代码。
受影响系统：Microweber 1.2.11 之前版本。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/microweber/microweber

参考链接
http://packetstormsecurity.com/files/166077/Microweber-1.2.11-Shell-Upload.html
https://github.com/microweber/microweber/commit/0a7e5f1d81de884861ca677ee1aaa...
https://huntr.dev/bounties/660c89af-2de5-41bc-aada-9e4e78142db8
https://www.exploit-db.com/exploits/50768

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	microweber	microweber	*		Up to (excluding) 1.2.11

阿里云评分 6.9

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 普通权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）