CVE-2026-34415
CriticalSummary
Wersje Xerte Online Toolkits 3.15 i wcześniejsze zawierają niekompletną walidację wejścia w punkcie końcowym elFinder, która nie blokuje rozszerzeń PHP-executable .php4 z powodu błędnego wzorca regex. Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę w połączeniu z lukami w omijaniu uwierzytelnienia i przechodzeniu ścieżek, aby przesłać złośliwy kod PHP, zmienić jego nazwę na rozszerzenie .php4 i wykonywać dowolne polecenia systemowe na serwerze.
Risk Assessment
Organizacja jest narażona na poważne ryzyko, ponieważ atakujący mogą uzyskać dostęp do serwera i wykonywać złośliwe operacje, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Recommendation
Zaleca się aktualizację Xerte Online Toolkits do najnowszej wersji, aby usunąć tę lukę oraz wdrożenie dodatkowych mechanizmów zabezpieczeń, takich jak monitorowanie i ograniczenie dostępu do punktów końcowych.
Original NVD description (English source)
Xerte Online Toolkits versions 3.15 and earlier contain an incomplete input validation vulnerability in the elFinder connector endpoint that fails to block PHP-executable extensions .php4 due to an incorrect regex pattern. Unauthenticated attackers can exploit this flaw combined with authentication bypass and path traversal vulnerabilities to upload malicious PHP code, rename it with a .php4 extension, and execute arbitrary operating system commands on the server.