CVE-2023-53980
KrytyczneStreszczenie
ProjectSend r1605 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na przesyłanie złośliwych plików poprzez manipulowanie rozszerzeniami plików. Atakujący mogą przesyłać skrypty powłoki z zamaskowanymi rozszerzeniami przez endpoint upload.process.php, aby wykonać dowolne polecenia na serwerze.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację serwera, kradzież danych oraz wykorzystanie serwera do dalszych ataków.
Rekomendacja
Zaleca się aktualizację ProjectSend do najnowszej wersji oraz wdrożenie walidacji typów plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
ProjectSend r1605 contains a remote code execution vulnerability that allows attackers to upload malicious files by manipulating file extensions. Attackers can upload shell scripts with disguised extensions through the upload.process.php endpoint to execute arbitrary commands on the server.