CVE-2023-42286

Zdalne wykonanie kodu przez dołączanie plików PHP w EyouCMS

CVSS 9.8v3.1pub. 2024-03-14upd. 2025-04-16

W systemie EyouCMS v1.6.4 istnieje podatność klasy file inclusion w module konfiguracji szablonów, umożliwiająca zdalne wykonanie kodu. Atakujący bez żadnego uwierzytelnienia może przejąć pełną kontrolę nad serwerem.

▸ Pokaż oryginał (EN)

There is a PHP file inclusion vulnerability in the template configuration of eyoucms v1.6.4, allowing attackers to execute code or system commands through a carefully crafted malicious payload.

🤖 Analiza AI

Jak działa

Podatność (CWE-434) wynika z braku odpowiedniej walidacji plików dołączanych przez mechanizm konfiguracji szablonów. Atakujący może spreparować złośliwy payload zawierający ścieżkę do kontrolowanego przez siebie pliku PHP lub innego zasobu. Po przetworzeniu takiego payloadu przez aplikację, serwer wykonuje zawarty w nim kod lub polecenia systemowe. Ze względu na wektor sieciowy bez wymagań dotyczących uwierzytelnienia (AV:N/PR:N/UI:N), atak może być przeprowadzony zdalnie przez dowolną osobę.

Skutki

Atakujący może wykonać dowolny kod lub polecenia systemowe na serwerze, co prowadzi do pełnego przejęcia systemu, kradzieży danych, modyfikacji treści serwisu oraz potencjalnego wykorzystania serwera jako punktu wyjścia do dalszych ataków.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do panelu administracyjnego i modułu konfiguracji szablonów wyłącznie do zaufanych adresów IP.

Kogo dotyczy

EyouCMS w wersji v1.6.4

Uwagi

Podatność została zgłoszona i opisana przez użytkownika Nacl122 w repozytorium GitHub (CVEReport). Ocena CVSS 9.8 wskazuje na krytyczną wagę — brak wpisu w CISA KEV nie wyklucza aktywnego wykorzystania w środowiskach produkcyjnych.