CVE-2023-33404

CVE-2023-33404 BlogEngine.NET CMS（バージョン3.3.8.0以前）において、EditOwnPosts権限を持つユーザーは、ハードコードされた場所に悪意のあるファイルをアップロードすることができます。 以下に示すスクリーンショットのように、/api/uploadエンドポイントへのPOSTリクエストにaction=videoパラメータを付与すると、ファイルアップロード処理が起動します。 アプリケーションはまず、ユーザーがビデオアップロードを実行するためのEditOwnPosts権限を持っているか確認し、持っていない場合はエラーを発生させます。...