MSA-21-0005: ejecución arbitraria de código PHP por parte de los administradores del sitio a través de la configuración de Shibboleth

26 de enero de 2021

por Michael Hawkins. Los administradores del sitio podían ejecutar scripts PHP arbitrarios a través de una inclusión PHP utilizada durante la autenticación de Shibboleth.Severidad / Riesgo: Serio Versiones afectadas: 3.10, 3.9 a 3.9.3, 3.8 a 3.8.6, 3.5 a 3.5.15 y versiones anteriores no compatibles. corregido: 3.10.1, 3.9.4, 3.8.7 y 3.5.16 Informe de: Frédéric Massart Solución alternativa: Harcode preventexecpath en verdadero en config.php, lo que evita que los administradores del sitio establezcan algunas rutas ejecutables a través de la interfaz de usuario. Ver más información: https://moodle.org/mod/forum/discuss.php?d=417171&parent=1680847

Source link