Plataforma
php
Componente
pegasus-cms
Corregido en
1.0.1
CVE-2019-25687 es una vulnerabilidad de ejecución remota de código (RCE) presente en Pegasus CMS versiones 1.0.0 a 1.0. Esta falla permite a atacantes no autenticados ejecutar comandos arbitrarios en el servidor. La vulnerabilidad reside en el plugin extra_fields.php, donde se utiliza una función eval insegura. Una solución es actualizar a una versión corregida del CMS, si está disponible.
Un atacante puede explotar esta vulnerabilidad enviando solicitudes POST maliciosas al endpoint submit.php, inyectando código PHP en el parámetro 'action'. La función eval, al no estar debidamente sanitizada, ejecuta este código, otorgando al atacante control sobre el servidor. Esto podría resultar en la ejecución de comandos arbitrarios, la exfiltración de datos sensibles, la modificación de archivos del sistema, o incluso la toma completa del control del servidor. La severidad CRÍTICA de esta vulnerabilidad indica un alto riesgo de compromiso del sistema.
Esta vulnerabilidad fue publicada el 2026-04-05. No se ha reportado explotación activa en la naturaleza, pero la facilidad de explotación y la severidad de la vulnerabilidad la convierten en un objetivo atractivo para los atacantes. Es crucial aplicar las mitigaciones necesarias lo antes posible. La vulnerabilidad se basa en un patrón de ejecución de código inseguro similar a otros ataques de inyección de código.
Organizations running Pegasus CMS version 1.0.0–1.0, especially those with publicly accessible instances, are at significant risk. Shared hosting environments are particularly vulnerable, as a compromised CMS installation can potentially impact other websites hosted on the same server. Systems with weak firewall configurations or lacking intrusion detection systems are also at increased risk.
• php: Examine web server access logs for POST requests to submit.php with unusual or suspicious data in the action parameter. Look for patterns indicative of PHP code injection.
grep 'action=[a-zA-Z0-9;+\/\*\(\)"' /var/log/apache2/access.log• php: Search the extra_fields.php file for instances of the eval() function and assess if input validation is performed before its usage.
grep 'eval(' extra_fields.php• generic web: Monitor network traffic for POST requests to submit.php originating from unusual IP addresses or exhibiting suspicious user agent strings.
• generic web: Check for newly created files or modified files within the Pegasus CMS installation directory, particularly those with PHP extensions, which could indicate successful code execution.
disclosure
Estado del Exploit
EPSS
0.39% (60% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar Pegasus CMS a una versión que corrija esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Estas pueden incluir la restricción del acceso al endpoint submit.php, la implementación de un Web Application Firewall (WAF) para filtrar solicitudes maliciosas, y la revisión exhaustiva del código fuente del plugin extra_fields.php para identificar y eliminar el uso de la función eval. Además, se recomienda monitorear los logs del servidor en busca de actividad sospechosa.
Actualice a una versión segura de Pegasus CMS que corrija la vulnerabilidad de ejecución remota de código en el archivo extra_fields.php. Verifique las fuentes oficiales de Pegasus CMS para obtener información sobre las actualizaciones disponibles y las instrucciones de instalación. Como medida preventiva, desactive el plugin extra_fields.php hasta que se pueda aplicar una actualización segura.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2019-25687 is a critical Remote Code Execution vulnerability in Pegasus CMS versions 1.0.0–1.0, allowing attackers to execute arbitrary commands without authentication.
If you are running Pegasus CMS version 1.0.0–1.0 and have not applied a patch, you are vulnerable to this RCE vulnerability.
Upgrade to a patched version of Pegasus CMS as soon as it becomes available. Until then, implement input validation and disable the eval function in extra_fields.php.
While no confirmed active exploitation campaigns are publicly known, the vulnerability's severity and ease of exploitation make it a high-priority target for attackers.
Refer to the Pegasus CMS website or security mailing lists for official advisories and updates regarding this vulnerability.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.