CVE-2017-7402
KrytyczneStreszczenie
Pixie 1.0.4 pozwala zdalnym uwierzytelnionym użytkownikom na przesyłanie i wykonywanie dowolnego kodu PHP poprzez dane POST w żądaniu admin/index.php?s=publish&x=filemanager dla nazwy pliku z podwójnym rozszerzeniem, takim jak .jpg.php z typem zawartości image/jpeg.
Ocena ryzyka
Podatność ta umożliwia atakującym zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem oraz wycieku danych.
Rekomendacja
Zaleca się aktualizację do nowszej wersji Pixie oraz wprowadzenie restrykcji dotyczących dozwolonych typów plików i rozszerzeń podczas przesyłania plików.
Oryginalny opis (angielski, źródło NVD)
Pixie 1.0.4 allows remote authenticated users to upload and execute arbitrary PHP code via the POST data in an admin/index.php?s=publish&x=filemanager request for a filename with a double extension, such as a .jpg.php file with Content-Type of image/jpeg.