orange-418/cve-2024-22515-file-upload-vulnerabilityاستغلال إثبات المفهوم لـ CVE-2024-22515، يوضح رفع ملف تعسفي وتنفيذ تعليمات برمجية عن بُعد في Agent DVR 5.1.6.0 عبر رفع ملفات صوتية غير موثوقة.
في iSpyConnect.com Agent DVR 5.1.6.0، يوجد نقص في التحقق من نوع الملف عند رفع ملفات الصوت. وهذا يسمح لمستخدم مصادق عليه برفع أي نوع ملفات عبر مكوّن رفع الصوت، وذلك ببساطة عن طريق التبديل إلى خيار جميع الملفات في حوار فتح الملف.
قد يتم دمج هذه الثغرة مع استغلال (Exploit) سبق أن قدمته، مما يسمح بكل من رفع الملفات التعسفي وتنفيذ الملفات التعسفي.
للمهتمين بفهم التفاصيل التقنية أو بتكرار النتائج الأمنية في ظروف خاضعة للتحكم، يتوفر استغلال إثبات المفهوم على الرابط التالي:
