CVE-2024-39171
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
W PHPVibe v11.0.46 wykryto podatność na przemieszczanie się po katalogach (directory traversal) spowodowaną niekompletnymi kontrolami sum kontrolnych i katalogów. Umożliwia to atakującemu wykonanie kodu poprzez zapisanie odpowiednich dyrektyw do pliku .htaccess oraz kodu do pliku z rozszerzeniem .png.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu przez atakującego, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub dalszego rozprzestrzeniania się ataku w infrastrukturze.
Rekomendacja
Należy natychmiast zaktualizować PHPVibe do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy wdrożyć tymczasowe zabezpieczenia, takie jak ograniczenie dostępu do plików .htaccess i walidacja ścieżek plików.
Oryginalny opis (angielski, źródło NVD)
Directory Travel in PHPVibe v11.0.46 due to incomplete blacklist checksums and directory checks, which can lead to code execution via writing specific statements to .htaccess and code to a file with a .png suffix.