CVE-2017-14346
KrytyczneStreszczenie
W pliku upload.php w tianchoy/blog do 2017-09-12 istnieje możliwość nieograniczonego przesyłania plików oraz wykonywania kodu PHP poprzez użycie typów zawartości image/jpeg, image/pjpeg, image/png lub image/gif dla pliku .php.
Ocena ryzyka
Organizacja może być narażona na złośliwe ataki, które umożliwiają wykonanie nieautoryzowanego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się wprowadzenie restrykcji dotyczących typów plików, które mogą być przesyłane, oraz implementację dodatkowych mechanizmów weryfikacji i zabezpieczeń dla przesyłanych plików.
Oryginalny opis (angielski, źródło NVD)
upload.php in tianchoy/blog through 2017-09-12 allows unrestricted file upload and PHP code execution by using the image/jpeg, image/pjpeg, image/png, or image/gif content type for a .php file.