CVE-2018-11331

Pluck CMS — zdalne wykonanie kodu PHP przez upload pliku .phtml/.htaccess

CVSS 9.8v3.0pub. 2018-05-21upd. 2024-11-21

W systemie zarządzania treścią Pluck CMS przed wersją 4.7.6 istnieje możliwość zdalnego wykonania kodu PHP (RCE) poprzez przesłanie pliku o niebezpiecznym rozszerzeniu. Podatność jest krytyczna, ponieważ umożliwia nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad serwerem.

▸ Pokaż oryginał (EN)

An issue was discovered in Pluck before 4.7.6. Remote PHP code execution is possible because the set of disallowed filetypes for uploads in missing some applicable ones such as .phtml and .htaccess.

🤖 Analiza AI

Jak działa

Mechanizm filtrowania przesyłanych plików nie blokował wszystkich niebezpiecznych rozszerzeń — lista zabronionych typów plików pomijała m.in. .phtml oraz .htaccess. Atakujący mógł przesłać plik z rozszerzeniem .phtml zawierający złośliwy kod PHP, który następnie był interpretowany przez serwer WWW. Plik .htaccess mógł być z kolei użyty do zmiany konfiguracji serwera Apache, co umożliwiało wykonanie kodu z pozornie bezpiecznych plików (CWE-434: Unrestricted Upload of File with Dangerous Type).

Skutki

Atakujący może zdalnie wykonać dowolny kod PHP na serwerze, co prowadzi do pełnego przejęcia serwera, kradzieży danych, modyfikacji treści serwisu lub wykorzystania go jako punktu wyjścia do dalszych ataków w infrastrukturze.

Mitygacja

Należy zaktualizować Pluck CMS do wersji 4.7.6 lub nowszej, w której rozszerzono listę blokowanych rozszerzeń plików. Szczegóły poprawki dostępne są w repozytorium producenta pod adresem: https://github.com/pluck-cms/pluck/commit/8f6541e60c9435e82e9c531a20cb3c218d36976e