CVE-2025-69992

Nieautoryzowany upload pliku dowolnego formatu w Phpgurukul News Portal

CVSS 9.8v3.1pub. 2026-01-13upd. 2026-01-16

Phpgurukul News Portal Project V4.1 zawiera krytyczną podatność w pliku upload.php, umożliwiającą wgranie pliku dowolnego formatu na serwer bez jakiejkolwiek weryfikacji tożsamości. Brak mechanizmów uwierzytelniania i walidacji rozszerzenia pliku pozwala atakującemu na zdalne wykonanie kodu (RCE) poprzez upload złośliwego pliku (np. webshell).

▸ Pokaż oryginał (EN)

phpgurukul News Portal Project V4.1 has File Upload Vulnerability via upload.php, which enables the upload of files of any format to the server without identity authentication.

🤖 Analiza AI

Jak działa

Endpoint upload.php nie wymaga uwierzytelnienia ani nie weryfikuje formatu lub rozszerzenia przesyłanego pliku. Atakujący może bez logowania wysłać żądanie HTTP do upload.php z załączonym plikiem dowolnego formatu, w tym wykonywalnym skryptem (np. PHP webshell). Po wgraniu pliku na serwer, atakujący może odwołać się do jego ścieżki URL i zdalnie wykonać zawarty w nim kod w kontekście serwera WWW.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez wykonanie dowolnego kodu (RCE), co prowadzi do naruszenia poufności, integralności i dostępności systemu — w tym kradzieży danych, modyfikacji treści portalu lub całkowitego przejęcia serwera.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się: wyłączenie lub zabezpieczenie endpointu upload.php mechanizmem uwierzytelniania, wdrożenie białej listy dozwolonych rozszerzeń plików, skonfigurowanie serwera WWW tak, aby nie wykonywał skryptów w katalogach przeznaczonych na upload plików.

Kogo dotyczy

Phpgurukul News Portal Project w wersji V4.1

Uwagi

Podatność udokumentowana przez badacza w repozytorium GitHub (https://github.com/Y4y17/CVE/blob/main/News%20Portal%20Project/File%20upload%20vulnerability.md), co wskazuje na publiczną dostępność szczegółów technicznych exploitacji.