Gibbon v25.0.0 - تضمين ملفات محلية - CVE-2023-34598

Gibbon الإصدار 25.0.0 عرضة لثغرة تضمين الملفات المحلية (LFI) حيث يمكن تضمين محتوى عدة ملفات موجودة في مجلد التثبيت في استجابة الخادم.

إثبات المفهوم

لاستغلال الثغرة، يحتاج المهاجم إلى التلاعب بمعامل "q" للاستعلام عن ملف محلي. يؤدي هذا التلاعب إلى تضمين الملف في استجابة الخادم. ومع ذلك، من المهم ملاحظة أن هذا الاستغلال فعال فقط للملفات الموجودة داخل مجلد التثبيت وفي ظل ظروف معينة، والتي تستثني ملفات PHP على سبيل المثال.

http://gibbon.local/q=./file

معلومات البائع:

الاسم: Gibbon الرابط: https://gibbonedu.org مستودع جيتهاب: https://github.com/GibbonEdu/core