CVE-2022-26645
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Podatność zdalnego wykonania kodu (RCE) w systemie Online Banking System Protect v1.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP za pomocą funkcji Upload Image.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, uzyskać dostęp do wrażliwych danych bankowych i przeprowadzić dalsze ataki na infrastrukturę organizacji.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą, a także wdrożyć walidację typów plików i ograniczenia wykonywania skryptów w katalogu uploadów.
Oryginalny opis (angielski, źródło NVD)
A remote code execution (RCE) vulnerability in Online Banking System Protect v1.0 allows attackers to execute arbitrary code via a crafted PHP file uploaded through the Upload Image function.