CVE-2023-41506

Arbitrary File Upload umożliwiający RCE w Student Enrollment In PHP

CVSS 9.8v3.1pub. 2024-02-27upd. 2025-11-20

Podatność typu arbitrary file upload w aplikacji Student Enrollment In PHP v1.0 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu. Krytyczny poziom zagrożenia wynika z braku jakichkolwiek wymagań uwierzytelnienia oraz możliwości pełnego przejęcia kontroli nad serwerem.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the Update/Edit Student's Profile Picture function of Student Enrollment In PHP v1.0 allows attackers to execute arbitrary code via uploading a crafted PHP file.

🤖 Analiza AI

Jak działa

Funkcja aktualizacji zdjęcia profilowego studenta nie weryfikuje prawidłowo typu ani zawartości wgrywanego pliku. Atakujący może przesłać spreparowany plik PHP zamiast dozwolonego pliku graficznego. Po zapisaniu pliku na serwerze możliwe jest jego bezpośrednie wywołanie przez przeglądarkę lub żądanie HTTP, co skutkuje wykonaniem złośliwego kodu po stronie serwera.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem aplikacji, w tym odczytać, zmodyfikować lub usunąć dane, a także wykonać dowolne polecenia systemowe (RCE). Możliwe jest również przejęcie bazy danych z danymi studentów oraz dalszy lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie walidacji typu MIME i rozszerzenia wgrywanych plików po stronie serwera, przechowywanie plików poza katalogiem webroot oraz uniemożliwienie wykonywania skryptów w katalogu przeznaczonym na uploady.