CVE-2025-64714

Riepilogo

PrivateBin è un pastebin online in cui il server non ha alcuna conoscenza dei dati incollati. A partire dalla versione 1.7.7 e prima della versione 2.0.3, esiste una Local File Inclusion non autenticata nella funzionalità di cambio template. Se `templateselection` è abilitato nella configurazione, il server si fida del cookie `template` e include il file PHP referenziato. Un attaccante può leggere dati sensibili o, se riesce a depositare un file PHP altrove, ottenere l'esecuzione remota di codice. Il percorso costruito del file template viene verificato per l'esistenza e poi incluso. Per i file del progetto PrivateBin questo non comporta la divulgazione di segreti, poiché i file di dati vengono creati con codice PHP che ne impedisce l'esecuzione, ma se un file di configurazione senza quella riga venisse creato o il visitatore riuscisse a individuare il percorso relativo di uno script PHP che esegue direttamente un'azione senza un'adeguata verifica dei privilegi, questi potrebbero essere eseguiti o divulgare informazioni. Il problema è stato corretto nella versione 2.0.3. Come soluzione alternativa, impostare `templateselection = false` (che è il valore predefinito) in `cfg/conf.php` o rimuoverlo del tutto.

• CVE-2025-64714-privatebin-2.0.2-PoCPoC

  Exploit proof-of-concept per l'inclusione locale di file in PrivateBin (CVE-2025-64714) tramite path traversal nel cookie del template, con capacità di rilevamento e concatenamento RCE.