ContiNew Admin не может применять проверки разрешений на загрузку файлов или проверку списка разрешенных типов файлов к конечным точкам многочастной загрузки, что позволяет прошедшим проверку подлинности пользователям хранить файлы с произвольными расширениями. Злоумышленники могут инициализировать фрагментированные загрузки, отправлять части файлов и завершать загрузки, оставляя произвольные файлы в серверном хранилище, доступные через URL-адреса веб-сервера.
Показать оригинальное описание (EN)
ContiNew Admin fails to apply file-upload permission checks or file-type allowlist validation to multipart upload endpoints, allowing authenticated users to store files with arbitrary extensions. Attackers can initialize chunked uploads, send file parts, and complete uploads to leave arbitrary files in the storage backend accessible via web server URLs.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Continew Continew_Admin
cpe:2.3:a:continew:continew_admin:*:*:*:*:*:*:*:*
|
— |
<= 4.1.0
|