Zaloguj się
Deutsch English Español Polski
Średnia

Arbitrary File Deletion vulnerability in OctoberCMS

  • Ujawniono: 03.06.2020
  • Aktualizacja: 11.10.2026 10:22

Impact

An attacker can exploit this vulnerability to delete arbitrary local files of an October CMS server. The vulnerability is only exploitable by an authenticated backend user with the cms.manage_assets permission.

Patches

Issue has been patched in Build 466 (v1.0.466).

Workarounds

Apply https://github.com/octobercms/october/commit/2b8939cc8b5b6fe81e093fe2c9f883ada4e3c8cc to your installation manually if unable to upgrade to Build 466.

References

Reported by Sivanesh Ashok

For more information

If you have any questions or comments about this advisory:

Threat assessment:

<img width="1241" alt="Screen Shot 2020-03-31 at 12 16 53 PM" src="https://user-images.githubusercontent.com/7253840/78060872-89354d00-7349-11ea-8c2b-5881b0a50736.png">

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer october/cms >= 1.0.319, < 1.0.466 1.0.466

Odnośniki

Ocena CVSS 6.2/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:N/I:H/A:N
Słabość (CWE)
CWE-610, CWE-73
Platforma
Composer
Paczka
october/cms
Ujawniono
03.06.2020
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jv6v-fvvx-4932 - CC BY 4.0

Historia podatności: october/cms

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
8
Pierwsza → ostatnia
06.2020 05.2022
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 2
  • Średnia 4
  • Niska 2

Ujawnienia w latach

  1. October CMS PHP Code Execution
    Wysoka · 7.2 CVE-2017-1000119 <= 1.0.412 brak poprawki
  2. Bypass of fix for CVE-2020-26231, Twig sandbox escape
    Średnia · 5.2 CVE-2021-21264 >= 1.0.471, < 1.0.472, >= 1.1.1, < 1.1.2 1.0.472, 1.1.2
  3. Bypass of fix for CVE-2020-15247, Twig sandbox escape
    Niska · 5.2 CVE-2020-26231 >= 1.0.469, < 1.0.470 1.0.470
  4. Twig Sandbox Escape by authenticated users with access to editing CMS templates when safemode is enabled.
    Średnia · 5.2 CVE-2020-15247 >= 1.0.319, < 1.0.469 1.0.469
  5. Local File Inclusion by unauthenticated users
    Wysoka · 7.5 CVE-2020-15246 >= 1.0.421, < 1.0.469 1.0.469
  6. Upload whitelisted files to any directory in OctoberCMS
    Niska · 3.4 CVE-2020-5297 >= 1.0.319, < 1.0.466 1.0.466
  7. Arbitrary File Deletion vulnerability in OctoberCMS ten wpis
    Średnia · 6.2 CVE-2020-5296 >= 1.0.319, < 1.0.466 1.0.466
  8. Local File read vulnerability in OctoberCMS
    Średnia · 4.8 CVE-2020-5295 >= 1.0.319, < 1.0.466 1.0.466

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.