CVE-2025-56218

Dowolne przesyłanie plików w SigningHub umożliwia RCE

CVSS 9.8v3.1pub. 2025-10-17upd. 2026-07-05

Podatność w SigningHub v8.6.8 pozwala atakującemu na przesłanie spreparowanego pliku PDF w celu wykonania dowolnego kodu na serwerze. Ze względu na brak wymagań uwierzytelnienia i pełen wpływ na poufność, integralność oraz dostępność systemu, zagrożenie jest krytyczne.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in SigningHub v8.6.8 allows attackers to execute arbitrary code via uploading a crafted PDF file.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) wynika z braku odpowiedniej walidacji przesyłanych plików po stronie serwera. Atakujący może przesłać spreparowany plik PDF zawierający złośliwy payload, który następnie jest przetwarzany lub wykonywany przez aplikację. Umożliwia to zdalne wykonanie kodu (RCE) bez konieczności posiadania jakichkolwiek uprawnień.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym dostęp do poufnych danych, modyfikację zawartości systemu oraz zakłócenie jego działania. Możliwe jest przejęcie całego środowiska aplikacyjnego bez wcześniejszego uwierzytelnienia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie kontroli po stronie serwera weryfikujących typ i zawartość przesyłanych plików oraz ograniczenie możliwości wykonywania plików w katalogach, do których użytkownicy mogą przesyłać pliki.

Kogo dotyczy

Ascertia SigningHub w wersji 8.6.8

Uwagi

W referencjach wskazano publiczne repozytorium GitHub (https://github.com/saykino/CVE-2025-56218) sugerujące dostępność publicznego kodu proof-of-concept dla tej podatności.