CVE-2023-29375

Niebezpieczne przesyłanie plików w Progress Sitefinity przez konektor SharePoint

CVSS 9.8v3.1pub. 2023-04-10upd. 2025-02-12

W Progress Sitefinity wykryto krytyczną podatność umożliwiającą przesyłanie niebezpiecznych plików za pośrednictwem konektora SharePoint. Luka otrzymała ocenę CVSS 9.8, co czyni ją zagrożeniem najwyższego poziomu — możliwa jest eksploatacja zdalna bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

An issue was discovered in Progress Sitefinity 13.3 before 13.3.7647, 14.0 before 14.0.7736, 14.1 before 14.1.7826, 14.2 before 14.2.7930, and 14.3 before 14.3.8025. There is potentially dangerous file upload through the SharePoint connector.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) polega na braku odpowiedniej walidacji typów przesyłanych plików przez konektor SharePoint w platformie Sitefinity. Atakujący może przesłać plik o potencjalnie złośliwym typie (np. wykonywalny skrypt lub plik webshell) bez konieczności posiadania uprawnień ani interakcji ze strony użytkownika. Ze względu na wektor sieciowy (AV:N) i brak wymagań uwierzytelnienia (PR:N), exploit może zostać przeprowadzony zdalnie przez dowolną osobę mającą dostęp do aplikacji.

Skutki

Udana eksploatacja może pozwolić atakującemu na uzyskanie pełnej kontroli nad serwerem — w tym na odczyt i modyfikację danych, wykonanie złośliwego kodu (RCE) oraz naruszenie dostępności systemu.

Mitygacja

Należy zaktualizować Progress Sitefinity do wersji 13.3.7647, 14.0.7736, 14.1.7826, 14.2.7930 lub 14.3.8025 (odpowiednio do używanej gałęzi). Szczegółowe informacje dostępne są w oficjalnym komunikacie bezpieczeństwa producenta opublikowanym w kwietniu 2023 roku pod adresem: https://community.progress.com/s/article/Sitefinity-Security-Advisory-for-Addressing-Security-Vulnerabilities-April-2023

Kogo dotyczy

Progress Sitefinity w wersjach: 13.3 przed 13.3.7647, 14.0 przed 14.0.7736, 14.1 przed 14.1.7826, 14.2 przed 14.2.7930 oraz 14.3 przed 14.3.8025

Uwagi

Podatność została upubliczniona 10 kwietnia 2023 roku wraz z poradnikiem bezpieczeństwa producenta. Brak potwierdzenia aktywnej eksploatacji w bazie CISA KEV.