CVE-2024-35510

DedeCMS – arbitrary file upload umożliwiający RCE

CVSS 9.8v3.1pub. 2024-05-28upd. 2025-04-01

W systemie zarządzania treścią DedeCMS v5.7.114 wykryto podatność CWE-434 (unrestricted file upload) w module zarządzania plikami, która pozwala atakującemu na zdalne wykonanie kodu (RCE). Brak uwierzytelnienia wymagany do przeprowadzenia ataku oraz maksymalny wynik CVSS 9.8 czynią tę podatność wyjątkowo poważną.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in /dede/file_manage_control.php of DedeCMS v5.7.114 allows attackers to execute arbitrary code via uploading a crafted file.

🤖 Analiza AI

Jak działa

Podatność występuje w skrypcie /dede/file_manage_control.php, który nie nakłada wystarczających ograniczeń na typ lub zawartość przesyłanych plików. Atakujący może przesłać spreparowany plik (np. webshell PHP) bez konieczności posiadania uprawnień ani interakcji ze strony ofiary. Po pomyślnym przesłaniu takiego pliku na serwer, atakujący może zdalnie wywołać jego wykonanie przez serwer WWW, uzyskując w ten sposób pełną kontrolę nad aplikacją.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE), co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnie całym serwerem – zagrożone są poufność, integralność oraz dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do katalogu /dede/ wyłącznie dla zaufanych adresów IP na poziomie firewall lub konfiguracji serwera WWW oraz wyłączenie możliwości przesyłania i wykonywania plików w katalogach użytkowników.

Kogo dotyczy

DedeCMS v5.7.114

Uwagi

Szczegóły techniczne podatności zostały opublikowane w repozytorium GitHub (https://github.com/QianGeG/CVE/issues/14), co oznacza publiczną dostępność informacji o podatności i potencjalne ułatwienie opracowania exploitu.