CVE-2023-30122

RCE przez arbitrary file upload w Online Food Ordering System v2.0

CVSS 9.8v3.1pub. 2023-05-05upd. 2026-03-30

Podatność w komponencie /admin/ajax.php?action=save_menu systemu Online Food Ordering System v2.0 umożliwia nieuwierzytelnionemu atakującemu wgranie dowolnego pliku na serwer. Skutkuje to możliwością zdalnego wykonania kodu (RCE) i pełnym przejęciem kontroli nad serwerem.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the component /admin/ajax.php?action=save_menu of Online Food Ordering System v2.0 allows attackers to execute arbitrary code via uploading a crafted PHP file.

🤖 Analiza AI

Jak działa

Komponent obsługujący zapis pozycji menu (/admin/ajax.php?action=save_menu) nie weryfikuje poprawnie typu ani zawartości przesyłanych plików (CWE-434: Unrestricted Upload of File with Dangerous Type). Atakujący może przesłać spreparowany plik PHP, który zostaje zapisany w dostępnym z poziomu przeglądarki katalogu na serwerze. Po wgraniu pliku atakujący wywołuje go przez HTTP, co powoduje wykonanie osadzonego kodu przez interpreter PHP po stronie serwera.

Skutki

Atakujący może zdalnie wykonać dowolny kod (RCE) na serwerze z uprawnieniami procesu serwera WWW, co może prowadzić do pełnego przejęcia systemu, kradzieży danych, instalacji backdoora lub dalszego lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako obejście tymczasowe zaleca się ograniczenie dostępu do panelu administracyjnego (/admin/) wyłącznie do zaufanych adresów IP na poziomie firewall lub serwera WWW oraz wyłączenie możliwości wykonywania skryptów PHP w katalogach przeznaczonych na upload plików.