CVE-2022-50993
KrytyczneStreszczenie
Weaver (Fanwei) E-office w wersjach przed 10.0_20221201 zawiera podatność na nieautoryzowane przesyłanie plików w punkcie końcowym OfficeServer.php. Umożliwia to zdalnym atakującym przesyłanie złośliwych plików poprzez wysyłanie wieloczęściowych żądań POST z dowolnymi nazwami plików i ukrytymi typami zawartości.
Ocena ryzyka
Atakujący mogą przesyłać skrypty PHP do katalogu Dokumentów i wykonywać je za pomocą żądań HTTP GET, co prowadzi do zdalnego wykonania kodu jako użytkownik serwera WWW. To stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację Weaver (Fanwei) E-office do wersji 10.0_20221201 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy ograniczające możliwość przesyłania plików oraz monitorować ruch sieciowy w celu wykrywania podejrzanych działań.
Oryginalny opis (angielski, źródło NVD)
Weaver (Fanwei) E-office versions prior to 10.0_20221201 contain an unauthenticated arbitrary file upload vulnerability in the OfficeServer.php endpoint that allows remote attackers to upload malicious files by sending multipart POST requests with arbitrary filenames and disguised content types. Attackers can upload PHP webshells to the Document directory and execute them via HTTP GET requests to achieve remote code execution as the web server user. Exploitation evidence was first observed by the Shadowserver Foundation on 2022-10-10 (UTC).