CVE-2011-10019

Aplikacja nie przeprowadza prawidłowej sanitizacji danych wejściowych przekazywanych przez parametr search[send][]. Wartość tego parametru jest dynamicznie wywoływana przy użyciu metody send języka Ruby, co pozwala atakującemu na podanie nazwy dowolnej metody lub polecenia do wykonania. Brak walidacji i filtrowania danych wejściowych umożliwia bezpośrednie wykonanie poleceń systemowych na serwerze bez konieczności posiadania jakichkolwiek uprawnień.

Atakujący może wykonać dowolne polecenia powłoki na serwerze bez uwierzytelnienia, co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych oraz potencjalnego lateral movement w sieci wewnętrznej.

Należy zaktualizować Spreecommerce Spree do wersji 0.60.2 lub nowszej, w której podatność została usunięta. Zgodnie z referencjami, szczegóły patcha dostępne są w oficjalnym blogu producenta oraz w repozytorium projektu.

Spreecommerce Spree w wersjach wcześniejszych niż 0.60.2

W referencjach dostępny jest publiczny moduł exploit dla frameworka Metasploit (rapid7/metasploit-framework) oraz wpis w Exploit-DB (ID 17941), co znacząco obniża próg wejścia dla atakujących. Pomimo braku wpisu w CISA KEV, obecność gotowych narzędzi exploitacyjnych wymaga pilnego zastosowania patcha.