CVE-2024-34990
KrytyczneStreszczenie
W module 'Help Desk - System Zarządzania Wsparciem Klienta' (helpdesk) w wersjach do 2.4.0 od FME Modules dla PrestaShop, klienci mogą przesyłać pliki .php. Metody `HelpdeskHelpdeskModuleFrontController::submitTicket()` oraz `HelpdeskHelpdeskModuleFrontController::replyTicket()` umożliwiają przesyłanie plików .php w przewidywalnej lokalizacji dla zalogowanych klientów.
Ocena ryzyka
Możliwość przesyłania plików .php przez klientów stwarza ryzyko wykonania złośliwego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się ograniczenie możliwości przesyłania plików do bezpiecznych formatów oraz wprowadzenie odpowiednich mechanizmów weryfikacji i kontroli przesyłanych plików.
Oryginalny opis (angielski, źródło NVD)
In the module "Help Desk - Customer Support Management System" (helpdesk) up to version 2.4.0 from FME Modules for PrestaShop, a customer can upload .php files. Methods `HelpdeskHelpdeskModuleFrontController::submitTicket()` and `HelpdeskHelpdeskModuleFrontController::replyTicket()` allow upload of .php files on a predictable path for connected customers.