In DedeCMS 5.7SP2, attackers can upload a .php file to the uploads/ directory (without being blocked by the Web Application Firewall), and then execute this file, via this sequence of steps: visiting the management page, clicking on the template, clicking on Default Template Management, clicking on New Template, and modifying the filename from ../index.html to ../index.php.
En DedeCMS 5.7SP2, los atacantes pueden subir un archivo .php al directorio "uploads/" (sin que se encuentren bloqueados por el firewall de aplicación web) y posteriormente ejecutar dicho archivo siguiendo los próximos pasos: visitar la página de gestión, hacer clic en la plantilla, hacer clic en "Gestión de plantilla por defecto", hacer clic en "Nueva plantilla" y modificar el nombre de archivo de "../index.html" a "../index.php".
