CVE-2023-44973

RCE przez arbitrary file upload w Emlog Pro — komponent /content/templates/

CVSS 9.8v3.1pub. 2023-10-03upd. 2024-11-21

Podatność arbitrary file upload w komponencie /content/templates/ systemu Emlog Pro v2.2.0 pozwala atakującemu na przesłanie spreparowanego pliku PHP i wykonanie dowolnego kodu na serwerze. Ocena CVSS 9.8 (CRITICAL) wskazuje na wyjątkowo wysokie ryzyko — exploitacja nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the component /content/templates/ of Emlog Pro v2.2.0 allows attackers to execute arbitrary code via uploading a crafted PHP file.

🤖 Analiza AI

Jak działa

Aplikacja nie weryfikuje w sposób wystarczający typu ani zawartości plików przesyłanych do katalogu /content/templates/. Atakujący może wgrać plik PHP z dowolnym kodem (tzw. webshell lub payload RCE), który następnie jest wykonywany przez serwer WWW. Mechanizm odpowiada klasyfikacji CWE-434 — niewystarczająca walidacja przesyłanych plików.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnego kodu na serwerze (RCE), co może prowadzić do pełnego przejęcia kontroli nad systemem, kradzieży danych, zniszczenia zawartości serwisu lub dalszego lateral movement w infrastrukturze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do katalogu /content/templates/ wyłącznie do uwierzytelnionych i uprawnionych użytkowników oraz wdrożenie mechanizmów walidacji typów przesyłanych plików po stronie serwera.