CVE-2026-78839

説明

AppNitro MachForm v30 における任意ファイルアップロードの脆弱性により、攻撃者が細工した .phar ファイルをアップロードすることで任意のコードを実行できる可能性があります。

この問題を悪用するには、2つの現実的な前提条件が必要です。第一に、攻撃者は .phar ファイルのアップロードを許可するように設定された既存のフォームを特定するか、フォームの許可された拡張子を自身で編集できる十分なアクセス権を持っている必要があります。第二に、攻撃者はアップロードされたファイルに割り当てられたMD5ハッシュを特定できなければ、そのファイルを取得して実行することができません。これは、有効なファイル名を列挙するために無制限のリクエストを送信できるため、ファイル名のブルートフォースによって達成されるか、二次的な脆弱性を通じて開示される可能性があります。

攻撃ベクトル

フォーム作成権限を持つユーザーが、.phar 形式が許可されたファイルアップロード機能を持つフォームを作成した場合、認証されていない任意のユーザーがこのフォームを悪用してリモートコード実行を取得できます。認証されていないユーザーは、ランダムなMD5ハッシュのファイル名をブルートフォースしてファイルを取得し、攻撃を実行する必要があります。

影響を受けるコンポーネント

Machform - バージョン30でテスト済み

攻撃タイプ

リモート

リスク

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P (8.2 High)

リファレンス