CVE-2020-22249

RCE w phplist 3.5.1 poprzez upload złośliwego pluginu

CVSS 9.8v3.1pub. 2021-07-06upd. 2024-11-21

Podatność umożliwia zdalne wykonanie kodu (RCE) w aplikacji phplist 3.5.1 na skutek braku weryfikacji rozszerzeń plików zawartych w przesyłanym archiwum ZIP z pluginem. Jest krytyczna, ponieważ atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem.

▸ Pokaż oryginał (EN)

Remote Code Execution vulnerability in phplist 3.5.1. The application does not check any file extensions stored in the plugin zip file, Uploading a malicious plugin which contains the php files with extensions like PHP,phtml,php7 will be copied to the plugins directory which would lead to the remote code execution

🤖 Analiza AI

Jak działa

Aplikacja phplist nie sprawdza rozszerzeń plików zawartych wewnątrz archiwum ZIP podczas instalacji pluginu. Atakujący może przygotować złośliwy plik ZIP zawierający skrypty PHP z rozszerzeniami takimi jak .php, .phtml lub .php7. Po przesłaniu takiego archiwum pliki te zostają skopiowane do katalogu z pluginami na serwerze. Umieszczone w ten sposób skrypty mogą następnie zostać wywołane przez przeglądarkę, co prowadzi do zdalnego wykonania dowolnego kodu na serwerze.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym odczytywać i modyfikować dane, uzyskać dostęp do poufnych informacji oraz wykonywać dowolne polecenia systemowe (RCE).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również wdrożenie kontroli po stronie serwera weryfikującej rozszerzenia i typy MIME przesyłanych plików oraz ograniczenie uprawnień do funkcji zarządzania pluginami wyłącznie do zaufanych administratorów.