• Recurso de upload de arquivo — Download Center > Upload Share Content (fluxo de upload de mídia / compartilhamento de conteúdo)

Tipo de ataque / Vetor

• Tipo de ataque: Remoto (requer conta autenticada com função: accountant/admin/superadmin)
• Vetores de ataque: Fluxo de upload combinado com a opção alternativa de URL do YouTube; ao enviar tanto um arquivo quanto o campo de link do YouTube, o servidor armazena o arquivo enviado com extensão .php em um diretório acessível pela web.

Reprodução (PoC conceitual — sem payload executável incluído)

1. Faça login no Smart School como usuário com função accountant, admin ou superadmin.
2. Navegue até Download Center → Upload Share Content.
3. Intercepte a solicitação HTTP (por exemplo, com um proxy como Burp) durante o fluxo de upload/compartilhamento.
4. Envie um arquivo cujo nome termine com .php (as verificações/filtros do lado do servidor tentam bloquear uploads de PHP por meio da validação regular de tipo de arquivo).
5. Na mesma solicitação de upload/envio, preencha também o campo alternativo de URL do YouTube (o caminho lógico que trata a opção do YouTube permite incorretamente que o arquivo enviado seja aceito e armazenado).
6. Conclua o fluxo de compartilhamento/upload; observe a resposta do servidor ou o caminho do arquivo armazenado retornado (o aplicativo revela o caminho de armazenamento). Exemplo de padrão de caminho de armazenamento observado: /uploads/school_content/material/media/!file.php
7. Acesse o arquivo .php armazenado por meio da URL retornada para acionar a execução de código (se o arquivo contiver código PHP executável).

Prova de conceito (alto nível)

• Um arquivo PHP enviado pelo fluxo vulnerável é gravado em um diretório acessível pela web e pode ser chamado diretamente por HTTP.
• A vulnerabilidade é um desvio de lógica/validação (o caminho de código da URL alternativa do YouTube não aplica as mesmas restrições estritas de tipo de arquivo que o fluxo de upload normal).

Mitigação / Correções recomendadas

Correções do lado do fornecedor (recomendadas):

1. Corrija a falha de lógica para que o caminho da URL alternativa do YouTube e quaisquer outros caminhos de upload especiais apliquem a mesma validação e filtragem de tipo de arquivo que o fluxo de upload normal. Verifique também se a URL do YouTube é válida/existente.
2. Bloqueie a execução de arquivos enviados armazenando o conteúdo enviado fora da raiz da web ou garantindo que os uploads sejam servidos por meio de um manipulador seguro que nunca execute código do lado do servidor.
3. Aplique verificações de MIME type e extensão no lado do servidor e valide contra uma lista de permissões de tipos de arquivo permitidos, em vez de uma lista de bloqueios.
4. Renomeie os arquivos armazenados para extensões seguras e/ou randomize os nomes sem preservar a extensão original.
5. Defina permissões corretas no servidor para que os arquivos enviados não sejam executáveis (por exemplo, chmod para remover a permissão de execução; configure o servidor web para não executar PHP a partir de diretórios de upload).
6. Adicione registro e monitoramento para uploads suspeitos e tentativas de acesso a arquivos enviados.
7. Aplique restrições baseadas em funções — restrinja quais funções podem enviar conteúdo e exija validação adicional para funções privilegiadas.

Soluções alternativas para administradores:

• Desative temporariamente o recurso problemático de upload/compartilhamento, se viável.
• Restrinja o acesso de upload a menos contas confiáveis.
• Configure o servidor web para não permitir a execução de .php no diretório /uploads/....

Referências

• Instância de demonstração relatada: https://smart-school.in/demo
• ID CVE reservado pela MITRE: CVE-2025-60500