CVE-2025-65474

Atakujący wykorzystuje funkcję zmiany nazwy pliku dostępną w komponencie /admin/manager.php, przemianowując wcześniej przesłany plik PHP na rozszerzenie SVG. Mechanizm aplikacji nieprawidłowo obsługuje tego typu operację (CWE-706 – użycie nieprawidłowo rozwiązanej nazwy lub odwołania), nie weryfikując rzeczywistej zawartości pliku po zmianie nazwy. W rezultacie plik z kodem PHP pozostaje wykonywalny przez serwer pomimo zmiany rozszerzenia, co umożliwia RCE. Podatność łączy się również z CWE-434, czyli brakiem ograniczeń dotyczących przesyłania plików niebezpiecznych typów.

Atakujący może wykonać dowolny kod po stronie serwera, co prowadzi do pełnego przejęcia kontroli nad aplikacją oraz potencjalnie całym systemem – w tym do naruszenia poufności, integralności i dostępności danych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego (/admin/) wyłącznie do zaufanych adresów IP oraz weryfikację serwera pod kątem obecności podejrzanych plików SVG w katalogach dostępnych publicznie.

EasyImages 2.0 w wersji 2.8.6 oraz wszystkich wcześniejszych wersjach (projekt Easyimages2.0 Project).

Podatność dotyczy wyłącznie komponentu panelu administracyjnego – do jej wykorzystania wymagany jest dostęp do funkcji zmiany nazwy pliku w panelu admina. Publiczny proof-of-concept dostępny jest pod adresem wskazanym w referencjach (gist.github.com/CongSec).