CVE-2025-26325

ShopXO 6.4.0 — niebezpieczne przesyłanie plików w ThemeDataService.php

CVSS 9.8v3.1pub. 2025-02-27upd. 2025-04-10

ShopXO w wersji 6.4.0 zawiera krytyczną podatność CWE-434 (Unrestricted Upload of File with Dangerous Type) w pliku ThemeDataService.php, umożliwiającą przesłanie złośliwego pliku na serwer. Ze względu na brak wymagania uwierzytelnienia (PR:N, UI:N) podatność jest szczególnie niebezpieczna i może być wykorzystana zdalnie przez dowolnego atakującego.

▸ Pokaż oryginał (EN)

ShopXO 6.4.0 is vulnerable to File Upload in ThemeDataService.php.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji typów i zawartości przesyłanych plików w komponencie ThemeDataService.php odpowiedzialnym za obsługę motywów. Atakujący może przesłać plik o niebezpiecznym typie (np. skrypt PHP) bez konieczności posiadania uprawnień ani interakcji po stronie użytkownika. Po umieszczeniu złośliwego pliku na serwerze możliwe jest jego zdalne wykonanie w kontekście aplikacji webowej.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie kodu (RCE) na serwerze, co może prowadzić do pełnego przejęcia kontroli nad aplikacją, kradzieży danych oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do funkcjonalności przesyłania plików na poziomie firewall lub serwera WWW oraz monitorowanie katalogów aplikacji pod kątem pojawienia się nieautoryzowanych plików.