CVE-2019-8908

WTCMS 1.0 — RCE przez upload pliku PHP w konfiguracji szablonu e-mail

CVSS 9.8v3.0pub. 2019-02-18upd. 2024-11-21

W systemie WTCMS 1.0 zdalny atakujący może wykonać dowolny kod PHP poprzez upload złośliwego pliku z rozszerzeniem .php, podszywając się pod plik graficzny. Podatność umożliwia pełne przejęcie kontroli nad serwerem bez wymagania uwierzytelnienia.

▸ Pokaż oryginał (EN)

An issue was discovered in WTCMS 1.0. It allows remote attackers to execute arbitrary PHP code by going to the "Setting -> Mailbox configuration -> Registration email template" screen, and uploading an image file, as demonstrated by a .php filename and the "Content-Type: image/gif" header.

🤖 Analiza AI

Jak działa

Atakujący przechodzi do sekcji 'Setting -> Mailbox configuration -> Registration email template' i przesyła plik o rozszerzeniu .php, ustawiając nagłówek Content-Type na 'image/gif'. Aplikacja nie weryfikuje poprawnie rozszerzenia pliku — opiera się wyłącznie na nagłówku MIME, co pozwala na zapisanie wykonywalnego skryptu PHP na serwerze. Po upload'zie plik może zostać wywołany przez przeglądarkę, co skutkuje wykonaniem złośliwego kodu po stronie serwera.

Skutki

Atakujący może wykonać dowolny kod PHP na serwerze (RCE), co w praktyce oznacza pełne przejęcie kontroli nad systemem — odczyt i modyfikację danych, instalację backdoor'ów oraz potencjalny lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako doraźne środki zaradcze zaleca się ograniczenie dostępu do panelu administracyjnego (firewall, uwierzytelnianie dwuskładnikowe) oraz skonfigurowanie serwera WWW tak, aby uniemożliwiał wykonywanie skryptów PHP w katalogach przeznaczonych na przesyłane pliki.

Kogo dotyczy

WTCMS w wersji 1.0 (projekt Wtcms Project / taosir/wtcms)

Uwagi

Podatność została zgłoszona poprzez publiczny issue tracker GitHub (taosir/wtcms, issue #3). Mechanizm omijania walidacji oparty na nagłówku Content-Type jest publicznie udokumentowany, co obniża próg wejścia dla potencjalnych atakujących.