CVE-2023-25261

RCE w Stimulsoft Designer i Viewer — brak ograniczeń dostępu do systemu plików

CVSS 9.8v3.1pub. 2023-03-27upd. 2026-07-09

Podatność umożliwia zdalne wykonanie kodu (RCE) w produktach Stimulsoft GmbH poprzez brak jakichkolwiek ograniczeń dostępu do lokalnego systemu plików. Atakujący może osadzić złośliwy kod źródłowy w raporcie, który odczyta lub zapisze dowolne pliki i katalogi na serwerze.

▸ Pokaż oryginał (EN)

Certain Stimulsoft GmbH products are affected by: Remote Code Execution. This affects Stimulsoft Designer (Desktop) 2023.1.4 and Stimulsoft Designer (Web) 2023.1.3 and Stimulsoft Viewer (Web) 2023.1.3. Access to the local file system is not prohibited in any way. Therefore, an attacker may include source code which reads or writes local directories and files. It is also possible for the attacker to prepare a report which has a variable that holds the gathered data and render it in the report.

🤖 Analiza AI

Jak działa

Aplikacje Stimulsoft Designer (Desktop i Web) oraz Stimulsoft Viewer (Web) nie implementują żadnych mechanizmów blokujących dostęp do lokalnego systemu plików podczas przetwarzania raportów. Atakujący może przygotować specjalnie spreparowany raport zawierający kod źródłowy wykonujący operacje odczytu lub zapisu na lokalnym systemie plików. Zebrane w ten sposób dane mogą zostać przypisane do zmiennej w raporcie i wyrenderowane jako jego zawartość, co umożliwia eksfiltrację poufnych informacji. Brak uwierzytelnienia wymaganego do przeprowadzenia ataku (wektor sieciowy, brak wymaganych uprawnień) czyni tę podatność szczególnie niebezpieczną.

Skutki

Atakujący może uzyskać nieautoryzowany odczyt i zapis dowolnych plików na serwerze, a poprzez wykonanie złośliwego kodu — całkowicie przejąć kontrolę nad systemem, co prowadzi do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do instancji Stimulsoft Designer i Viewer oraz wdrożenie mechanizmów sandboxingu ograniczających dostęp procesu do lokalnego systemu plików do czasu zastosowania oficjalnej poprawki.