Descripción
Vvveb anterior a 1.0.9.0 contiene una omisión de la lista de denegación en system/traits/media.php, donde '.phar' está mal configurado con un punto inicial, lo que permite a administradores autenticados cargar archivos PHP .phar. Los atacantes pueden cargar una webshell políglota con bytes mágicos GIF que evade la inspección binaria y ejecutar comandos arbitrarios del sistema operativo como el usuario del servidor web.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Vvveb Afectadas: anteriores a 1.0.9.0 No afectadas: 1.0.9.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/givanz/Vvveb/security/advisories/GHSA-hcpj-pcpx-2744
- Parchegithub.com/givanz/Vvveb/commit/638a6c6f5a7a7f7ff4c65f996894f400d8fb8e…
- Aviso de vulncheck.comvulncheck.com/advisories/vvveb-before-1.0.9.0-rce-via-phar-extension-…
Ver el texto original en inglés (CVE.org)
Vvveb before 1.0.9.0 RCE via .phar Extension Denylist Bypass in Media Upload
Vvveb before 1.0.9.0 contains a denylist bypass in system/traits/media.php where '.phar' is misconfigured with a leading dot, allowing authenticated administrators to upload .phar PHP files. Attackers can upload a GIF magic-byte polyglot webshell bypassing binary inspection and execute arbitrary OS commands as the web-server user.