Gibbon v25.0.0 - Inclusion de fichier local - CVE-2023-34598

Gibbon v25.0.0 est vulnérable à une vulnérabilité d'inclusion de fichier local (LFI) permettant d'inclure le contenu de plusieurs fichiers présents dans le dossier d'installation dans la réponse du serveur.

Preuve de concept

Pour exploiter la vulnérabilité, un attaquant devrait manipuler le paramètre "q" pour interroger un fichier local. Cette manipulation amènerait le fichier à être inclus dans la réponse du serveur. Cependant, il est important de noter que cette exploitation n'est efficace que pour les fichiers situés dans le dossier d'installation et sous certaines conditions, qui excluent par exemple les fichiers PHP.

http://gibbon.local/q=./file

Informations sur le fournisseur :

Nom : Gibbon URL : https://gibbonedu.org Dépôt GitHub : https://github.com/GibbonEdu/core