CVE-2021-36359

OrbiTeam BSCW Classic before 7.4.3 allows exportpdf authenticated remote code execution (RCE) via XML tag injection because reportlab\platypus\paraparser.py (reached via bscw.cgi op=_editfolder.EditFolder) calls eval on attacker-supplied Python code. This is fixed in 5.0.12, 5.1.10, 5.2.4, 7.3.3, and 7.4.3.

OrbiTeam BSCW Classic before 7.4.3 allows exportpdf authenticated remote code execution (RCE) via XML tag injection because reportlab\platypus\paraparser.py (reached via bscw.cgi op=_editfolder.EditFolder) calls eval on attacker-supplied Python code. This is fixed in 5.0.12, 5.1.10, 5.2.4, 7.3.3, and 7.4.3.

OrbiTeam BSCW Classic versiones anteriores a 7.4.3, permite una ejecución de código remota (RCE) autenticado de exportpdf por medio de la inyección de etiquetas XML porque el archivo reportlab\platypus\paraparser.py (al que se accede por medio de bscw.cgi op=_editfolder.EditFolder) llama a eval en el código Python suministrado por el atacante. Esto es corregido en las versiones 5.0.12, 5.1.10, 5.2.4, 7.3.3 y 7.4.3.