1. L'attaccante carica o fornisce un archivio ZIP all'endpoint di unzip dell'applicazione (l'autenticazione può essere richiesta o meno a seconda della configurazione).
2. Manipola il payload della richiesta UNZIP per includere sequenze di directory traversal come ../../routes.
3. La logica di estrazione del backend risolve questi percorsi senza validazione e scrive i file direttamente in quelle posizioni.
4. I file esistenti possono essere sovrascritti silenziosamente se i nomi dei file collidono.
5. L'attaccante ottiene la capacità di sostituire file dell'applicazione, scrivere web shell o modificare file di configurazione critici.

💥 Impatto

• Scrittura arbitraria di file: i file possono essere scritti in qualsiasi posizione scrivibile dall'utente dell'applicazione (es. www-data).
• Sovrascrittura di file: gli attaccanti possono sovrascrivere file legittimi dell'applicazione, inclusi route, controller o configurazione.
• Esecuzione remota di codice: scrivendo payload eseguibili dal web (PHP, JSP o altri) nella webroot, l'attaccante può ottenere la piena esecuzione di codice.
• Compromissione dell'applicazione: la modifica di punti di ingresso, come index.php, può alterare la logica del sito o introdurre backdoor persistenti.
• Privilege Escalation (indiretta): sovrascrivere file di configurazione/env può esporre segreti che consentono un ulteriore movimento laterale.

Gravità: Critica

Punteggio base: 9.1

Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

🛡️ Mitigazione consigliata

• Implementare la validazione canonica dei percorsi: normalizzare i percorsi dei file richiesti e imporre una restrizione rigorosa alla root di storage designata del progetto.
• Rifiutare qualsiasi percorso contenente sequenze di traversamento (../, %2e%2e/, traversamento nidificato).
• Applicare la logica di allowlist lato server
• Aggiornare a una versione patchata non appena il fornitore rilascia una correzione che affronti questa debolezza di path traversal.

🙏 Crediti

Scoperta e segnalata da: Theethat Thamwasin