CVE-2020-37137: PHP-Fusion 9.03.50: execução remota de código por injeção de código em panels.php
A CVE-2020-37137 é uma falha crítica de execução remota de código no PHP-Fusion 9.03.50, em que dados POST não sanitizados chegam a uma chamada eval() na função add_panel_form(). A NVD atribui pontuação base CVSS 3.1 de 9.8, e o registro classifica a fraqueza como CWE-94 (Injeção de Código). O registro não informa versão corrigida nem inclusão no catálogo KEV da CISA, por isso a atualização e o status de exploração exigem verificação nas fontes do fornecedor e do CNA.
Visão geral
A CVE-2020-37137 descreve um problema de execução remota de código no PHP-Fusion 9.03.50. Segundo o registro, a função add_panel_form() repassa dados POST não sanitizados para eval(), e a fraqueza é classificada como CWE-94 (Injeção de Código). O CNA é a VulnCheck, e o status da entrada na NVD é Analyzed.
Impacto
- A pontuação base da NVD é CVSS 3.1 9.8 (Crítica), com vetor que indica alcance pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- O registro também lista a pontuação CVSS 4.0 8.6 atribuída pela VulnCheck e a pontuação CVSS 3.1 de 6.1 da mesma fonte.
- O código executado por esse caminho rodaria com os privilégios do contexto da aplicação web. O registro não confirma quais privilégios se aplicam.
Produtos e versões afetadas
- O registro lista o produto como Php-fusion Phpfusion, versão 9.03.50.
- Nenhuma outra versão está listada. Não é possível determinar pelo registro se versões anteriores ou posteriores são afetadas.
Status de exploração
- O registro não indica inclusão no catálogo KEV da CISA, portanto nenhuma exploração ativa é registrada para esta CVE.
- O registro referencia uma entrada na Exploit-DB, o que indica a existência de material de exploração público. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Não há dados EPSS no registro.
Correção e mitigação
- O registro não contém versão corrigida. Trate essa ausência como desconhecido, e não como prova de que não existe correção, e verifique o site do PHP-Fusion para atualizações oficiais.
- Se não for possível atualizar imediatamente, restrinja o acesso aos painéis administrativos a redes e contas confiáveis e revise quem pode acessar as funções de gestão de painéis.
- Faça o inventário de todas as instâncias do PHP-Fusion e confirme se alguma executa a versão 9.03.50.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições POST inesperadas ao endpoint administrativo panels.php, especialmente com conteúdo incomum em campos relacionados a painéis.
- Gere alertas para arquivos novos ou modificados no diretório web e para conexões de saída inesperadas partindo do servidor web.
- Audite contas de administrador em busca de atividades que não possam ser atribuídas a usuários conhecidos.
Limitações das informações disponíveis
- O registro não fornece versão corrigida, texto de fornecedor confirmando a correção nem pontuação EPSS.
- O link do aviso da VulnCheck está marcado como quebrado no registro.
- O registro não informa o grau de exploração em configurações padrão ou reforçadas específicas.
Perguntas frequentes
A CVE-2020-37137 é conhecida por ser explorada ativamente?
O registro não indica inclusão no catálogo KEV da CISA, e nenhuma exploração ativa é registrada nas fontes consultadas. O registro referencia uma entrada pública na Exploit-DB, o que indica a existência de material de exploração público.
Quais versões são afetadas?
O registro lista a versão 9.03.50 do PHP-Fusion. Outras versões não estão listadas, portanto a situação delas é desconhecida pelo registro.
Existe versão corrigida?
O registro não lista versão corrigida. A ausência não comprova que não existe correção, por isso consulte o site do fornecedor para atualizações oficiais.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.