CVE-2023-37733
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W tduck-platform v4.0 wykryto podatność polegającą na dowolnym przesyłaniu plików. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku HTML.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub dalszego rozprzestrzeniania ataku w sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować tduck-platform do najnowszej wersji, która usuwa tę podatność. Dodatkowo, wdrożyć walidację typów plików oraz ograniczyć uprawnienia do katalogów przesyłania.
Inne podatności w tduck-platform
Zobacz wszystkie- CVE-2026-95829Średnie
W produkcie TDuckCloud tduck-platform do wersji 5.3 wykryto podatność typu SQL injection w funkcji PaginationInnerInterceptor.concatOrderBy w pliku MybatisPlusConfig.java. Manipulacja argumentem orders[0].column pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90528Niskie
Wykryto lukę w TDuckApp tduck-platform w wersjach do 5.3. Dotyczy ona nieznanej funkcjonalności w pliku tduck-front/src/views/form/write/index.vue komponentu Form Write View i manipulacji argumentem submitShowCustomPageContent, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in tduck-platform v4.0 allows attackers to execute arbitrary code via a crafted HTML file.