CVE-2018-11736

Pluck CMS — upload i wykonanie dowolnego kodu PHP przez fałszywy typ MIME

CVSS 9.8v3.0pub. 2018-06-05upd. 2024-11-21

Podatność w Pluck CMS przed wersją 4.7.7-dev2 umożliwia nieuwierzytelnionemu zdalnie atakującemu przesłanie pliku .htaccess jako rzekomego obrazu JPEG i wykonanie dowolnego kodu PHP. Ze względu na brak uwierzytelnienia i pełny zakres skutków (poufność, integralność, dostępność) podatność oceniono jako krytyczną (CVSS 9.8).

▸ Pokaż oryginał (EN)

An issue was discovered in Pluck before 4.7.7-dev2. /data/inc/images.php allows remote attackers to upload and execute arbitrary PHP code by using the image/jpeg content type for a .htaccess file.

🤖 Analiza AI

Jak działa

Plik /data/inc/images.php odpowiedzialny za obsługę przesyłanych obrazów nie weryfikuje poprawnie rozszerzenia ani rzeczywistej zawartości przesyłanego pliku — opiera się jedynie na nagłówku Content-Type podanym przez klienta. Atakujący przesyła plik .htaccess z nagłówkiem 'Content-Type: image/jpeg', co pozwala ominąć mechanizm walidacji. Umieszczony plik .htaccess może następnie skonfigurować serwer Apache do traktowania wybranych plików jako PHP, umożliwiając wykonanie złośliwego kodu po stronie serwera (CWE-434: Unrestricted Upload of File with Dangerous Type).

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnego kodu PHP na serwerze (RCE), co prowadzi do całkowitego przejęcia kontroli nad aplikacją i środowiskiem hostingowym, wycieku danych oraz potencjalnego zniszczenia lub modyfikacji zawartości serwisu.

Mitygacja

Należy zaktualizować Pluck CMS do wersji 4.7.7-dev2 lub nowszej, w której opisana podatność została usunięta. Szczegóły dostępne w referencjach producenta pod adresem: https://github.com/pluck-cms/pluck/releases/tag/4.7.7-dev2