CVE-2026-1331

Arbitrary File Upload w Hamastar MeetingHub umożliwia RCE bez uwierzytelnienia

CVSS 9.3v4.0pub. 2026-01-22upd. 2026-02-17

MeetingHub firmy HAMASTAR Technology zawiera podatność klasy Arbitrary File Upload (CWE-434), która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wgranie i uruchomienie web shell backdoora na serwerze. Krytyczny poziom zagrożenia wynika z braku jakichkolwiek wymagań uwierzytelnienia oraz pełnego przejęcia kontroli nad serwerem.

▸ Pokaż oryginał (EN)

MeetingHub developed by HAMASTAR Technology has an Arbitrary File Upload vulnerability, allowing unauthenticated remote attackers to upload and execute web shell backdoors, thereby enabling arbitrary code execution on the server.

🤖 Analiza AI

Jak działa

Atakujący wysyła żądanie HTTP zawierające złośliwy plik (np. web shell) do podatnego endpointu aplikacji MeetingHub bez konieczności posiadania konta lub sesji. Aplikacja nie weryfikuje poprawnie typu ani zawartości przesyłanego pliku, w wyniku czego plik jest zapisywany w lokalizacji dostępnej przez serwer WWW. Następnie atakujący wywołuje przesłany plik przez przeglądarkę lub żądanie HTTP, co skutkuje wykonaniem dowolnego kodu po stronie serwera.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnego kodu na serwerze (RCE) z uprawnieniami procesu serwera WWW, co może prowadzić do pełnego przejęcia systemu, kradzieży danych, instalacji dodatkowego złośliwego oprogramowania lub dalszego ruchu bocznego w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez TWCERT pod adresami https://www.twcert.org.tw/en/cp-139-10651-ff09c-2.html oraz https://www.twcert.org.tw/tw/cp-132-10650-a5ee9-1.html. Do czasu instalacji łatki zaleca się ograniczenie dostępu do funkcji przesyłania plików na poziomie firewall lub reverse proxy oraz monitorowanie katalogów serwera pod kątem nowych, nieautoryzowanych plików wykonywalnych.

Kogo dotyczy

Produkt Hamastar MeetingHub Paperless Meetings — wersje wskazane w referencjach producenta (TWCERT)

Uwagi

Podatność opublikowana przez Taiwan Computer Emergency Response Team (TWCERT). CISA KEV: NIE.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X