CVE-2024-56975

RCE w InvoicePlane — niebezpieczne przesyłanie plików (upload_file)

CVSS 9.8v3.1pub. 2025-03-28upd. 2025-04-14

InvoicePlane w wersji 1.6.11 i wcześniejszych zawiera krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez metodę upload_file kontrolera Upload. Podatność nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni ją wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

InvoicePlane (all versions tested as of December 2024) v.1.6.11 and before contains a remote code execution vulnerability in the upload_file method of the Upload controller.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-434 (Unrestricted Upload of File with Dangerous Type) polega na braku odpowiedniej weryfikacji typów przesyłanych plików w metodzie upload_file kontrolera Upload. Atakujący może przesłać złośliwy plik (np. skrypt PHP) na serwer przez sieć, bez konieczności posiadania konta ani interakcji ofiary. Po przesłaniu plik może zostać wykonany po stronie serwera, skutkując przejęciem kontroli nad systemem.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnego kodu na serwerze (RCE), co może prowadzić do pełnego przejęcia systemu, kradzieży danych, instalacji backdoorów lub dalszego lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (pull requesty #1127 oraz #1166 w repozytorium GitHub InvoicePlane). Zaleca się niezwłoczną aktualizację do wersji zawierającej poprawki oraz ograniczenie dostępu do funkcji przesyłania plików na poziomie firewall lub WAF do czasu wdrożenia patcha.