CVE-2024-35375

DedeCMS 5.7.114 — arbitrary file upload w panelu administracyjnym

CVSS 9.8v3.1pub. 2024-05-23upd. 2025-04-01

DedeCMS w wersji 5.7.114 zawiera krytyczną podatność typu arbitrary file upload na stronie dodawania mediów w panelu administracyjnym. Umożliwia ona atakującemu przesłanie złośliwego pliku na serwer, co może prowadzić do pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

There is an arbitrary file upload vulnerability on the media add .php page in the backend of the website in version 5.7.114 of DedeCMS

🤖 Analiza AI

Jak działa

Podatność (CWE-434) wynika z braku odpowiedniej walidacji typów przesyłanych plików na stronie 'media add .php' w backendzie aplikacji DedeCMS. Atakujący może przesłać plik o złośliwej zawartości (np. webshell PHP) podszywając się pod dozwolony typ pliku. Po umieszczeniu takiego pliku na serwerze możliwe jest jego zdalne wykonanie poprzez odpowiednie żądanie HTTP.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie kodu (RCE) na serwerze, co może skutkować całkowitym przejęciem systemu, kradzieżą danych, wdrożeniem backdoora lub dalszym lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz wdrożenie mechanizmów kontroli typów przesyłanych plików na poziomie serwera WWW i zapory aplikacyjnej (WAF).

Kogo dotyczy

DedeCMS w wersji 5.7.114

Uwagi

Publiczny proof-of-concept jest dostępny w repozytorium GitHub (gist.github.com/Tsq741). Podatność wymaga dostępu do panelu administracyjnego, jednak wektor CVSS wskazuje na brak wymagań dotyczących uwierzytelnienia (PR:N), co sugeruje możliwość obejścia mechanizmów autoryzacji.