CVE-2021-45834
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
Podatność w OpenDocMan 1.4.4 umożliwia atakującemu ominięcie kontroli typu MIME podczas przesyłania plików przez add.php. Może to prowadzić do automatycznego przetworzenia złośliwych plików w środowisku produktu lub zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia kontroli nad serwerem poprzez wykonanie dowolnego kodu, co może skutkować naruszeniem poufności, integralności i dostępności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować OpenDocMan do najnowszej wersji oraz wdrożyć dodatkową walidację typów plików po stronie serwera, niezależną od nagłówka MIME.
Oryginalny opis (angielski, źródło NVD)
An attacker can upload or transfer files of dangerous types to the OpenDocMan 1.4.4 portal via add.php using MIME-bypass, which may be automatically processed within the product's environment or lead to arbitrary code execution.