CVE-2024-31818

Path Traversal z RCE w DerbyNet v.9.0 — komponent kiosk.php

CVSS 9.8v3.1pub. 2024-04-12upd. 2025-06-17

Podatność typu path traversal w DerbyNet v.9.0 pozwala nieuwierzytelnionemu atakującemu zdalnie wykonać dowolny kod na serwerze. Wysoki wynik CVSS 9.8 (CRITICAL) oraz brak wymagań dotyczących uwierzytelnienia czynią tę lukę szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Directory Traversal vulnerability in DerbyNet v.9.0 allows a remote attacker to execute arbitrary code via the page parameter of the kiosk.php component.

🤖 Analiza AI

Jak działa

Podatność występuje w komponencie kiosk.php aplikacji DerbyNet. Parametr 'page' przesyłany do tego skryptu nie jest odpowiednio walidowany ani filtrowany, co umożliwia atakującemu podanie spreparowanej ścieżki zawierającej sekwencje path traversal (np. '../'). Poprzez manipulację tym parametrem zdalny atakujący może wyjść poza dozwolony katalog aplikacji i wykonać dowolny kod na serwerze bez konieczności posiadania jakichkolwiek uprawnień.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym odczytać, zmodyfikować lub usunąć dowolne pliki, a także wykonać złośliwy kod prowadzący do przejęcia systemu. Zagrożone są poufność, integralność oraz dostępność całego środowiska serwerowego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako obejście tymczasowe zaleca się ograniczenie dostępu do komponentu kiosk.php na poziomie firewall lub serwera WWW oraz monitorowanie parametru 'page' pod kątem podejrzanych wartości.

Kogo dotyczy

DerbyNet w wersji 9.0 — komponent website/kiosk.php

Uwagi

Szczegółowa analiza podatności dostępna jest w publikacji badacza pod adresem https://chocapikk.com/posts/2024/derbynet-vulnerabilities/. Podatność dotyczy publicznie dostępnego kodu źródłowego na GitHubie (commit 1ae0bb55c3990dec8fd9b9f4a82400be9a75de92).