CVE-2024-39171

Path Traversal i RCE w PHPVibe v11.0.46 przez niekompletną weryfikację ścieżek

CVSS 9.8v3.1pub. 2024-07-09upd. 2026-07-05

PHPVibe w wersji 11.0.46 zawiera podatność typu path traversal wynikającą z niekompletnej weryfikacji ścieżek i list blokowanych rozszerzeń. Umożliwia ona zdalnemu atakującemu wykonanie dowolnego kodu na serwerze bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

Directory Travel in PHPVibe v11.0.46 due to incomplete blacklist checksums and directory checks, which can lead to code execution via writing specific statements to .htaccess and code to a file with a .png suffix.

🤖 Analiza AI

Jak działa

Podatność wynika z niepełnej implementacji mechanizmu blacklisty rozszerzeń plików oraz niewystarczającej weryfikacji ścieżek katalogów. Atakujący może wykorzystać lukę path traversal, aby zapisać specjalnie spreparowane dyrektywy do pliku .htaccess, modyfikując w ten sposób konfigurację serwera WWW. Następnie, poprzez zapisanie złośliwego kodu do pliku z rozszerzeniem .png (który jest traktowany jako bezpieczny), atakujący doprowadza do wykonania tego kodu przez serwer.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnego kodu (RCE) na serwerze, co może skutkować pełnym przejęciem kontroli nad systemem, kradzieżą danych oraz naruszeniem integralności i dostępności aplikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również monitorowanie i ograniczenie uprawnień zapisu do katalogów aplikacji oraz weryfikację integralności plików .htaccess na serwerze.

Kogo dotyczy

PHPVibe w wersji 11.0.46

Uwagi

Publiczny proof-of-concept dla tej podatności jest dostępny w repozytorium GitHub wskazanym w referencjach (github.com/751897386/PHPVibe_vulnerability_Directory-Traversal).