CVE-2022-29351
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
W Tiddlywiki5 w wersji 5.2.2 wykryto podatność polegającą na dowolnym przesyłaniu plików w module uploadu. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku SVG.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu przez atakującego, co może prowadzić do przejęcia kontroli nad serwerem lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Tiddlywiki5 do najnowszej wersji oraz wdrożenie walidacji typów plików w module uploadu, aby blokować niebezpieczne formaty.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the file upload module of Tiddlywiki5 v5.2.2 allows attackers to execute arbitrary code via a crafted SVG file. Note: The vendor argues that this is not a legitimate issue and there is no vulnerability here.