CVE-2023-53980
KrytyczneStreszczenie
ProjectSend r1605 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na przesyłanie złośliwych plików poprzez manipulowanie rozszerzeniami plików. Atakujący mogą przesyłać skrypty powłoki z zamaskowanymi rozszerzeniami przez endpoint upload.process.php, aby wykonać dowolne polecenia na serwerze.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację serwera, kradzież danych oraz wykorzystanie serwera do dalszych ataków.
Rekomendacja
Zaleca się aktualizację ProjectSend do najnowszej wersji oraz wdrożenie walidacji typów plików na serwerze.
Inne podatności w ProjectSend
Zobacz wszystkie- CVE-2026-53992Średnie
ProjectSend r2029 zawiera odzwierciedloną podatność XSS w thumbnails-regenerate.php, która pozwala zdalnym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez podanie niesanityzowanych wartości w parametrach GET start_date i end_date, które są echoowane bez escapowania do wartości atrybutów HTML. Atakujący może stworzyć złośliwy URL, który po kliknięciu przez uwierzytelnioną ofiarę z uprawnieniami edit_settings wykonuje wstrzyknięte skrypty w originie aplikacji, co może prowadzić do kradzieży ciasteczek sesji lub nieautoryzowanych działań, w tym zarządzania użytkownikami, plikami i zmianami ustawień aplikacji.
- CVE-2024-11680KrytyczneAktywnie exploitowane
W ProjectSend w wersjach przed r1720 występuje luka w uwierzytelnianiu. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP do pliku options.php, co umożliwia nieautoryzowaną modyfikację konfiguracji aplikacji. Skuteczne wykorzystanie luki pozwala na tworzenie kont, wgrywanie webshelli oraz osadzanie złośliwego JavaScript.
- CVE-2021-47947Średnie
Trwały XSS w Projectsend r1295. Uwierzytelnieni atakujący mogą wstrzyknąć złośliwy skrypt przez parametr 'name' w pliku files-edit.php, który wykonuje się u administratorów na Dashboardzie.
- CVE-2026-5624Średnie
Podatność na Cross-Site Request Forgery (CSRF) w ProjectSend r2002 w pliku upload.php. Atak może być przeprowadzony zdalnie. Publicznie dostępny jest exploit.
- CVE-2020-28874Wysokie
Podatność w skrypcie reset-password.php w ProjectSend przed wersją r1295 umożliwia zdalnemu atakującemu zresetowanie hasła użytkownika z powodu błędnej logiki biznesowej. Błędy nie są odpowiednio obsługiwane, w szczególności nieprawidłowy parametr tokena.
Oryginalny opis (angielski, źródło NVD)
ProjectSend r1605 contains a remote code execution vulnerability that allows attackers to upload malicious files by manipulating file extensions. Attackers can upload shell scripts with disguised extensions through the upload.process.php endpoint to execute arbitrary commands on the server.