CVE-2023-41505

Arbitrary file upload umożliwiający RCE w Student Enrollment In PHP

CVSS 9.8v3.1pub. 2024-03-13upd. 2025-05-28

Podatność typu arbitrary file upload w aplikacji Student Enrollment In PHP v1.0 pozwala nieuwierzytelnionemu atakującemu na przesłanie złośliwego pliku PHP i wykonanie dowolnego kodu na serwerze. Ocena CVSS 9.8 wskazuje na krytyczne zagrożenie, które nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the Add Student's Profile Picture function of Student Enrollment In PHP v1.0 allows attackers to execute arbitrary code via uploading a crafted PHP file.

🤖 Analiza AI

Jak działa

Funkcja dodawania zdjęcia profilowego studenta nie weryfikuje poprawnie typów przesyłanych plików, co pozwala atakującemu na przesłanie spreparowanego pliku PHP zamiast rzeczywistego obrazu. Po wgraniu pliku na serwer atakujący może wywołać go poprzez bezpośrednie żądanie HTTP, co skutkuje wykonaniem zawartego w nim kodu po stronie serwera. Podatność jest dostępna zdalnie, bez uwierzytelnienia i bez udziału ofiary.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez wykonanie dowolnego kodu (RCE), co umożliwia odczyt i modyfikację danych, eskalację uprawnień oraz potencjalne przejęcie całego systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie walidacji typów przesyłanych plików (whitelist rozszerzeń i weryfikacja nagłówków MIME), przechowywanie przesłanych plików poza katalogiem webroot oraz ograniczenie uprawnień do wykonywania skryptów w katalogach przeznaczonych na upload.