CVE-2022-27263

Arbitrary file upload umożliwiający RCE w Strapi v4.1.5

CVSS 9.8v3.1pub. 2022-04-12upd. 2024-11-21

Podatność w module przesyłania plików Strapi v4.1.5 pozwala atakującemu na wgranie złośliwego pliku bez uwierzytelnienia. Umożliwia to zdalne wykonanie dowolnego kodu (RCE) na serwerze, co czyni ją zagrożeniem krytycznym.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the file upload module of Strapi v4.1.5 allows attackers to execute arbitrary code via a crafted file.

🤖 Analiza AI

Jak działa

Moduł odpowiedzialny za przesyłanie plików w Strapi v4.1.5 nie weryfikuje w sposób wystarczający typu ani zawartości wgrywanych plików (CWE-434: Unrestricted Upload of File with Dangerous Type). Atakujący może przesłać specjalnie spreparowany plik — np. skrypt wykonywalny — który następnie zostaje zapisany na serwerze. Po wgraniu plik może zostać wykonany przez serwer, co prowadzi do zdalnego wykonania kodu w kontekście procesu aplikacji.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, wykonując dowolny kod, co umożliwia kradzież danych, instalację backdoorów, lateral movement lub całkowite przejęcie systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację Strapi do najnowszej dostępnej wersji oraz ograniczenie dostępu do endpointów przesyłania plików wyłącznie do uwierzytelnionych i autoryzowanych użytkowników.