CVE-2021-42669

CVE-2021-42669 - Удаленное выполнение кода через уязвимость неограниченной загрузки файлов в системе онлайн-портала инженеров.

Техническое описание:

Уязвимость неограниченной загрузки файлов существует в системе онлайн-портала инженеров. Злоумышленник может использовать эту уязвимость для удаленного выполнения кода на затронутом веб-сервере. После загрузки аватара он помещается в каталог /admin/uploads/ и становится доступен всем пользователям. Загрузив простой веб-шелл на PHP, злоумышленник может получить удаленное выполнение кода на веб-сервере.

Затронутые компоненты -

Уязвимая страница - teacher_avatar.php

Использование CVE-2021-42669.py -

# Upload a simple webshell to the target machine - 
python CVE-2021-42669.py <target_ip> <target_port> <target_uri> <username> <password>

Пример -

python CVE-2021-42669.py 127.0.0.1 80 /nia_uoz_monitoring_system/ MyUserName MyPassword

Доказательство концепции (PoC) -