CVE-2025-21624

ClipBucket V5 — nieograniczony upload plików PHP przez funkcję playlist

CVSS 9.8v3.1pub. 2025-01-07upd. 2025-09-05

W aplikacji ClipBucket V5 istnieje krytyczna podatność typu unrestricted file upload (CWE-434), umożliwiająca przesłanie złośliwego skryptu PHP zamiast obrazu okładki playlisty. Podatność ta pozwala atakującemu na zdalne wykonanie kodu na serwerze bez żadnych uprawnień.

▸ Pokaż oryginał (EN)

ClipBucket V5 provides open source video hosting with PHP. Prior to 5.5.1 - 239, a file upload vulnerability exists in the Manage Playlist functionality of the application, specifically surrounding the uploading of playlist cover images. Without proper checks, an attacker can upload a PHP script file instead of an image file, thus allowing a webshell or other malicious files to be stored and executed on the server. This attack vector exists in both the admin area and low-level user area. This vulnerability is fixed in 5.5.1 - 239.

🤖 Analiza AI

Jak działa

Funkcjonalność zarządzania playlistami w ClipBucket V5 umożliwia przesyłanie obrazów okładek, jednak aplikacja nie weryfikuje poprawnie typu przesyłanego pliku. Atakujący może zamiast pliku graficznego przesłać plik z rozszerzeniem lub zawartością skryptu PHP. Po zapisaniu pliku na serwerze możliwe jest jego bezpośrednie wywołanie przez przeglądarkę, co skutkuje wykonaniem kodu po stronie serwera (webshell). Wektor ataku jest dostępny zarówno z poziomu panelu administracyjnego, jak i konta zwykłego użytkownika.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez umieszczenie i uruchomienie webshella lub innego złośliwego kodu, co zagraża poufności, integralności oraz dostępności całego systemu.

Mitygacja

Należy zaktualizować ClipBucket V5 do wersji 5.5.1 - 239 lub nowszej, w której podatność została naprawiona. Patch dostępny jest w repozytorium producenta na GitHub (commit 893bfb0f1236c4a59b5e2843ab8d27a1e491b12b).