CVE-2024-39165
KrytyczneStreszczenie
W wersjach Asial JpGraph Professional do 4.2.6-pro, atakujący zdalnie mogą wykonać dowolny kod poprzez przesłanie ładunku PHP w parametrze data, w połączeniu z nazwą pliku .php w parametrze filename. Problem wynika z niepotrzebnego folderu QR/demoapp dołączonego do produktu.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się usunięcie folderu QR/demoapp oraz aktualizację do najnowszej wersji Asial JpGraph Professional, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
QR/demoapp/qr_image.php in Asial JpGraph Professional through 4.2.6-pro allows remote attackers to execute arbitrary code via a PHP payload in the data parameter in conjunction with a .php file name in the filename parameter. This occurs because an unnecessary QR/demoapp folder.is shipped with the product.