Уязвимость веб-сервера Unraid FileUpload, связанная с удаленным внедрением кода. Эта уязвимость позволяет удаленным злоумышленникам выполнять произвольный код на затронутых установках Unraid. Для использования этой уязвимости необходима аутентификация.
Конкретный недостаток существует в FileUpload.php. Проблема возникает из-за отсутствия надлежащей проверки введенной пользователем строки перед ее использованием для выполнения системного вызова. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте пользователя www-data.
Был ZDI-CAN-30116.
Показать оригинальное описание (EN)
Unraid Web Server FileUpload Command Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Unraid. Authentication is required to exploit this vulnerability. The specific flaw exists within FileUpload.php. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call. An attacker can leverage this vulnerability to execute code in the context of the www-data user. Was ZDI-CAN-30116.
Характеристики атаки
Последствия
Строка CVSS v3.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Unraid Unraid
cpe:2.3:o:unraid:unraid:*:*:*:*:*:*:*:*
|
— |
7.3.0
|