CVE-2023-53922
KrytyczneStreszczenie
TinyWebGallery v2.5 zawiera podatność na zdalne wykonanie kodu w funkcji przesyłania plików przez administratora, która umożliwia nieuwierzytelnionym atakującym przesyłanie złośliwych plików PHP. Atakujący mogą przesyłać pliki .phar z osadzonymi poleceniami systemowymi, aby wykonać dowolny kod na serwerze, uzyskując dostęp do URL przesłanego pliku.
Ocena ryzyka
Podatność ta może prowadzić do całkowitego przejęcia serwera, co stanowi krytyczne zagrożenie dla poufności, integralności i dostępności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu do wersji, która zawiera poprawkę, oraz ograniczenie uprawnień przesyłania plików.
Oryginalny opis (angielski, źródło NVD)
TinyWebGallery v2.5 contains a remote code execution vulnerability in the admin upload functionality that allows unauthenticated attackers to upload malicious PHP files. Attackers can upload .phar files with embedded system commands to execute arbitrary code on the server by accessing the uploaded file's URL.