CVE-2024-34990
CriticalSummary
W module 'Help Desk - System Zarządzania Wsparciem Klienta' (helpdesk) w wersjach do 2.4.0 od FME Modules dla PrestaShop, klienci mogą przesyłać pliki .php. Metody `HelpdeskHelpdeskModuleFrontController::submitTicket()` oraz `HelpdeskHelpdeskModuleFrontController::replyTicket()` umożliwiają przesyłanie plików .php w przewidywalnej lokalizacji dla zalogowanych klientów.
Risk Assessment
Możliwość przesyłania plików .php przez klientów stwarza ryzyko wykonania złośliwego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Recommendation
Zaleca się ograniczenie możliwości przesyłania plików do bezpiecznych formatów oraz wprowadzenie odpowiednich mechanizmów weryfikacji i kontroli przesyłanych plików.
Original NVD description (English source)
In the module "Help Desk - Customer Support Management System" (helpdesk) up to version 2.4.0 from FME Modules for PrestaShop, a customer can upload .php files. Methods `HelpdeskHelpdeskModuleFrontController::submitTicket()` and `HelpdeskHelpdeskModuleFrontController::replyTicket()` allow upload of .php files on a predictable path for connected customers.