IPS Community Suite 4.5.4.2 PHP Code Injection

CVE编号

CVE-2021-32924

利用情况

暂无

补丁情况

N/A

披露时间

2021-06-01

漏洞描述

Invision Community是美国Invision公司的一个用于设计、开发移动应用UI的软件。 IPS Community Suite 4.5.4.2版本及之前版本存在代码注入漏洞，该漏洞源于IPScmsmodulesfrontpages＼_builder：：previewBlock()方法在调用PHP的eval()函数。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://packetstormsecurity.com/files/162868/IPS-Community-Suite-4.5.4.2-PHP-Code-Injection.html

参考链接
http://karmainsecurity.com/KIS-2021-04
http://packetstormsecurity.com/files/162868/IPS-Community-Suite-4.5.4.2-PHP-C...
http://seclists.org/fulldisclosure/2021/May/80
https://hackerone.com/reports/1092574
https://invisioncommunity.com/features/security/
https://packetstormsecurity.com/files/162868/IPS-Community-Suite-4.5.4.2-PHP-...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	invisioncommunity	ips_community_suite	*		Up to (excluding) 4.6.0

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-94 对生成代码的控制不恰当（代码注入）