CVE-2022-23626
m1k1o/blog में अपर्याप्त फ़ाइल जाँच
- प्रकाशित
- 8 फ़र॰ 2022
- अद्यतन
- 22 अप्रैल 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 23 मई 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 95.5%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
m1k1o/blog एक हल्का self-hosted फेसबुक-शैली PHP ब्लॉग है। `imagecreatefrom*` और `image*` फ़ंक्शनों से आने वाली त्रुटियों की ठीक से जाँच नहीं की गई है। हालाँकि PHP ने चेतावनियाँ जारी कीं और अपलोड फ़ंक्शन ने `false` लौटाया, मूल फ़ाइल (जिसमें एक दुर्भावनापूर्ण पेलोड हो सकता है) डिस्क पर बनी रही। उपयोगकर्ताओं को सलाह दी जाती है कि वे जितनी जल्दी हो सके अपग्रेड करें। इस समस्या के लिए कोई ज्ञात कार्य-समाधान (workaround) नहीं है।
स्रोत
- cve-2022-23636-pocएक्सप्लॉइट
m1k1o के Blog v1.3 के लिए प्रमाणित रिमोट कोड निष्पादन शोषण, अमान्य फ़ाइल अपलोड के माध्यम से, वेबशेल तैनाती और रिवर्स शेल क्षमताओं के साथ।
Malte V · php · 23 मई 2022
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।