CVE-2017-9080

Wysokie

Opublikowano: 19/05/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

PlaySMS w wersji 1.4 umożliwia zdalne wykonanie kodu z powodu wykonania kodu PHP w nazwie przesłanego pliku .php. Problem wynika z połączenia nieograniczonego przesyłania plików i wstrzykiwania kodu.

Ocena ryzyka

Organizacja może być narażona na zdalne wykonanie złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji PlaySMS oraz wdrożenie ścisłych kontroli dotyczących przesyłania plików, aby zapobiec wstrzykiwaniu kodu.

Inne podatności w PlaySMS 1.4

CVE-2017-9101Krytyczne
W PlaySMS 1.4 funkcja importu (import.php) umożliwia zdalne wykonanie kodu poprzez wykorzystanie nagłówka User-Agent HTTP oraz kodu PHP w nazwie pliku.

Oryginalny opis (angielski, źródło NVD)

PlaySMS 1.4 allows remote code execution because PHP code in the name of an uploaded .php file is executed. sendfromfile.php has a combination of Unrestricted File Upload and Code Injection.