Composant concerné

• Fonctionnalité de téléversement de fichier — Download Center > Upload Share Content (téléversement multimédia / flux de partage de contenu)

Type d'attaque / Vecteur

• Type d'attaque : À distance (nécessite un compte authentifié avec le rôle : comptable/admin/superadmin)
• Vecteurs d'attaque : Flux de téléversement combiné à l'option alternative URL YouTube ; en soumettant à la fois un fichier téléversé et le champ de lien YouTube, le serveur stocke le fichier téléversé avec une extension .php dans un répertoire accessible via le web.

Reproduction (PoC conceptuel — aucun payload exécutable inclus)

1. Connectez-vous à Smart School en tant qu'utilisateur avec le rôle comptable, admin ou superadmin.
2. Naviguez vers Download Center → Upload Share Content.
3. Interceptez la requête HTTP (par exemple, avec un proxy tel que Burp) pendant le flux de téléversement/partage.
4. Téléversez un fichier dont le nom se termine par .php (les contrôles/filtres côté serveur tentent de bloquer les téléversements PHP via la validation standard du type de fichier).
5. Dans la même requête de téléversement/soumission, remplissez également le champ alternatif URL YouTube (le chemin logique qui gère l'option YouTube permet incorrectement au fichier téléversé d'être accepté et stocké).
6. Terminez le flux de partage/téléversement ; notez la réponse du serveur ou observez le chemin du fichier stocké renvoyé (l'application révèle le chemin de stockage). Exemple de modèle de chemin de stockage observé : /uploads/school_content/material/media/!file.php
7. Accédez au fichier .php stocké via l'URL renvoyée pour déclencher l'exécution de code (si le fichier contient du code PHP exécutable).

Preuve de concept (niveau élevé)

• Un fichier PHP téléversé via le flux vulnérable est écrit dans un répertoire accessible via le web et peut être appelé directement par HTTP.
• La vulnérabilité est un contournement logique/de validation (le chemin de code de l'URL YouTube alternative ne parvient pas à appliquer les mêmes restrictions strictes de type de fichier que le flux de téléversement normal).

Atténuation / Correctifs recommandés

Correctifs côté fournisseur (recommandés) :

1. Corriger la faille logique afin que le chemin de l'URL YouTube alternative et tout autre chemin de téléversement spécial appliquent la même validation et le même filtrage de type de fichier que le flux de téléversement normal. Vérifiez également si l'URL YouTube est valide/existante.
2. Bloquer l'exécution des fichiers téléversés en stockant le contenu téléversé en dehors de la racine web ou en garantissant que les téléversements sont servis via un gestionnaire sûr qui n'exécute jamais de code côté serveur.
3. Appliquer des contrôles de type MIME et d'extension côté serveur, et valider par rapport à une liste blanche de types de fichiers autorisés plutôt qu'une liste noire.
4. Renommer les fichiers stockés avec des extensions sûres et/ou randomiser les noms sans conserver l'extension d'origine.
5. Définir des permissions serveur correctes afin que les fichiers téléversés ne soient pas exécutables (par exemple, chmod pour supprimer la permission d'exécution ; configurer le serveur web pour ne pas exécuter PHP depuis les répertoires de téléversement).
6. Ajouter une journalisation et une surveillance pour les téléversements suspects et les tentatives d'accès aux fichiers téléversés.
7. Appliquer des restrictions basées sur les rôles — resserrer les rôles autorisés à téléverser du contenu et exiger une validation supplémentaire pour les rôles privilégiés.

Solutions de contournement pour les administrateurs :

• Désactiver temporairement la fonctionnalité problématique de téléversement/partage si possible.
• Restreindre l'accès au téléversement à moins de comptes de confiance.
• Configurer le serveur web pour interdire l'exécution de .php dans le répertoire /uploads/....

Références

• Instance de démonstration signalée : https://smart-school.in/demo
• ID CVE MITRE réservé : CVE-2025-60500