CVE-2017-1000194

October CMS: modyfikacja konfiguracji Apache przez niebezpieczny upload pliku

CVSS 9.8v3.0pub. 2017-11-17upd. 2026-05-13

October CMS w buildzie 412 umożliwia atakującemu modyfikację konfiguracji serwera Apache poprzez funkcjonalność przesyłania plików. Skutkiem jest możliwość całkowitego przejęcia kontroli nad witryną oraz potencjalnie innymi aplikacjami działającymi na tym samym serwerze.

▸ Pokaż oryginał (EN)

October CMS build 412 is vulnerable to Apache configuration modification via file upload functionality resulting in site compromise and possibly other applications on the server.

🤖 Analiza AI

Jak działa

Podatność jest wynikiem braku odpowiedniej walidacji przesyłanych plików (CWE-434 — Unrestricted Upload of File with Dangerous Type). Atakujący może przesłać plik, który modyfikuje konfigurację Apache (np. plik .htaccess), zmieniając w ten sposób zachowanie serwera WWW. Zmieniona konfiguracja może skutkować wykonaniem złośliwego kodu po stronie serwera lub obejściem mechanizmów bezpieczeństwa aplikacji.

Skutki

Atakujący może przejąć kontrolę nad serwisem internetowym oraz potencjalnie innymi aplikacjami hostowanymi na tym samym serwerze. W zależności od wprowadzonych zmian w konfiguracji Apache możliwe jest zdalne wykonanie kodu (RCE) lub eskalacja uprawnień.

Mitygacja

Należy zaktualizować October CMS do buildu 413 (wersja v1.0.413) lub nowszego, w którym wprowadzono poprawkę blokującą przesyłanie niebezpiecznych typów plików. Szczegóły poprawki dostępne są w referencjach producenta na GitHub.

Kogo dotyczy

October CMS build 412 (wersja v1.0.412)

Uwagi

Podatność dotyczy wyłącznie buildu 412. Poprawka została wprowadzona w buildzie 413 — diff dostępny w referencjach na GitHub wskazuje konkretną zmianę w walidacji przesyłanych plików.