CVE-2022-28568
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
W systemie Doctor's Appointment System 1.0 od Sourcecodester wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pliku jako obrazu z panelu administratora. Atakujący może uzyskać pełną kontrolę nad serwerem, znając jedynie ścieżkę przechowywania przesłanych plików.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera, kradzież danych pacjentów oraz możliwość dalszego ataku na infrastrukturę IT. Podatność jest łatwa do wykorzystania, ponieważ wymaga jedynie znajomości ścieżki do katalogu z obrazami.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować łatkę bezpieczeństwa. Dodatkowo, wdrożyć walidację typów plików oraz ograniczyć uprawnienia do katalogu uploadów.
Oryginalny opis (angielski, źródło NVD)
Sourcecodester Doctor's Appointment System 1.0 is vulnerable to File Upload to RCE via Image upload from the administrator panel. An attacker can obtain remote command execution just by knowing the path where the images are stored.