CVE-2023-33404

CVE-2023-33404 BlogEngine.NET CMS 버전 3.3.8.0 및 이전에서 EditOwnPosts 권한이 있는 사용자는 하드코딩된 위치에 악성 파일을 업로드할 수 있습니다. 아래 스크린샷과 같이 "action=video" 매개변수를 가진 /api/upload 엔드포인트로의 POST 요청은 파일 업로드 프로세스를 트리거합니다. 애플리케이션은 먼저 사용자가 비디오 업로드를 진행할 수 있는 EditOwnPosts 권한을 가지고 있는지 확인하며, 그렇지 않으면 오류를 발생시킵니다. 아래 스크린샷에 묘사된 바와 같이,...