CVE-2023-34944
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Podatność w komponencie /fileUpload.lib.php systemu Chamilo w wersjach 1.11.* do 1.11.18 umożliwia atakującym przesyłanie dowolnych plików. Wykorzystując spreparowany plik SVG, atakujący może wykonać dowolny kod na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem, kradzież danych lub zainfekowanie systemu złośliwym oprogramowaniem.
Rekomendacja
Należy natychmiast zaktualizować system Chamilo do wersji 1.11.19 lub nowszej, która zawiera poprawkę tej podatności. Dodatkowo warto ograniczyć możliwość przesyłania plików SVG lub wdrożyć walidację typów plików.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the /fileUpload.lib.php component of Chamilo 1.11.* up to v1.11.18 allows attackers to execute arbitrary code via uploading a crafted SVG file.