CVE-2025-67288

Umbraco CMS — arbitrary file upload umożliwiający RCE przez plik PDF

CVSS 10.0v3.1pub. 2025-12-22upd. 2026-07-05

W Umbraco CMS v16.3.3 odkryto podatność umożliwiającą przesłanie dowolnego pliku (CWE-434), która pozwala atakującemu wykonać arbitralny kod poprzez spreparowany plik PDF. Należy zaznaczyć, że producent (Umbraco) kwestionuje tę podatność, wskazując, że odpowiedzialność za walidację przesyłanych plików spoczywa na administratorze systemu wdrażającym CMS, a nie na samym produkcie.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in Umbraco CMS v16.3.3 allows attackers to execute arbitrary code by uploading a crafted PDF file. NOTE: this is disputed by the Supplier because the responsibility for file validation (as shown in the documentation) belongs to the system administrator who is implementing Umbraco CMS in their environment, not to Umbraco CMS itself, a related issue to CVE-2023-49279.

🤖 Analiza AI

Jak działa

Atakujący przesyła spreparowany plik z rozszerzeniem PDF, który zawiera złośliwy kod wykonywalny. Mechanizm przesyłania plików w Umbraco CMS nie wymusza po stronie samej platformy odpowiedniej walidacji typów i zawartości plików — według producenta konfiguracja tej walidacji jest zadaniem administratora środowiska. Przesłany plik może zostać następnie wykonany po stronie serwera, prowadząc do RCE.

Skutki

Skuteczne wykorzystanie podatności może pozwolić nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu na serwerze (RCE), co potencjalnie skutkuje pełnym przejęciem kontroli nad systemem, wyciekiem danych oraz naruszeniem integralności i dostępności usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Niezależnie od sporu co do odpowiedzialności, administratorzy powinni wdrożyć po stronie serwera rygorystyczną walidację typów przesyłanych plików (weryfikację nagłówków MIME, rozszerzeń i zawartości), ograniczyć uprawnienia do przesyłania plików wyłącznie do zaufanych użytkowników oraz skonfigurować serwer WWW tak, aby uniemożliwiał wykonywanie skryptów w katalogach przeznaczonych na pliki użytkowników.

Kogo dotyczy

Umbraco CMS v16.3.3 (podatność zgłoszona dla tej wersji; producent kwestionuje jej zasadność)

Uwagi

Producent (Umbraco) oficjalnie kwestionuje tę podatność, wskazując że walidacja plików jest obowiązkiem administratora wdrażającego system, a nie samego Umbraco CMS. Podatność jest powiązana z wcześniejszym CVE-2023-49279. Mimo kwestionowania przez producenta, CVSS został oceniony na 10.0 przez zgłaszającego. Administratorzy powinni samodzielnie ocenić ryzyko w swoim środowisku.