CVE-2024-27516

SSTI / Command Injection w Live Helper Chat umożliwia RCE

CVSS 9.8v3.1pub. 2024-02-29upd. 2025-04-30

Podatność typu Server-Side Template Injection (SSTI) w aplikacji Live Helper Chat przed wersją 4.34 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu. Ze względu na brak wymagań dotyczących uwierzytelnienia oraz pełen wpływ na poufność, integralność i dostępność systemu, podatność jest oceniana jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

Server-Side Template Injection (SSTI) vulnerability in livehelperchat before 4.34v, allows remote attackers to execute arbitrary code and obtain sensitive information via the search parameter in lhc_web/modules/lhfaq/faqweight.php.

🤖 Analiza AI

Jak działa

Podatność występuje w parametrze 'search' obsługiwanym przez plik 'lhc_web/modules/lhfaq/faqweight.php'. Nieodpowiednio walidowane dane wejściowe przekazywane przez użytkownika są przetwarzane przez silnik szablonów po stronie serwera, co pozwala na wstrzyknięcie złośliwych wyrażeń szablonowych. Skutkuje to interpretacją i wykonaniem dowolnego kodu w kontekście procesu serwera webowego.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE) bez żadnego uwierzytelnienia, a także uzyskać dostęp do wrażliwych informacji przechowywanych w systemie.

Mitygacja

Należy zaktualizować Live Helper Chat do wersji 4.34 lub nowszej. Poprawka została wprowadzona w commicie a61d231526a36d4a7d8cc957914799ee1f9db0ab dostępnym w repozytorium GitHub producenta.