CVE-2021-47936
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
OpenCATS 0.9.4 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń poprzez przesyłanie złośliwych plików PHP udających załączniki CV.
Ocena ryzyka
Atakujący może w pełni przejąć kontrolę nad serwerem, uzyskując dostęp do danych i możliwość dalszego ataku na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej wersji OpenCATS oraz wdrożenie walidacji typów plików przy przesyłaniu.
Oryginalny opis (angielski, źródło NVD)
OpenCATS 0.9.4 contains a remote code execution vulnerability that allows unauthenticated attackers to execute arbitrary commands by uploading malicious PHP files disguised as resume attachments. Attackers can upload PHP payloads through the careers job application endpoint and execute system commands via POST requests to the uploaded file in the upload directory.