PT-2022-12289 · Unknown · Tiny File Manager

Febinrev · Publicado 2022-03-15 · Atualizado 2022-03-21 · CVE-2021-45010

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Tiny File Manager anteriores à 2.4.7

Descrição

Uma falha de traversal de caminho na funcionalidade de upload de arquivos do tinyfilemanager.php permite que invasores remotos com contas de usuário válidas enviem arquivos PHP maliciosos para a raiz do servidor, levando à execução de código.

Recomendações

Para versões anteriores à 2.4.7, atualize para a versão 2.4.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de upload de arquivos no tinyfilemanager.php para minimizar o risco de exploração.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-45010

Produtos afetados

Tiny File Manager

Referências · 12

• 🔥 https://github.com/febinrev/tinyfilemanager-2.4.3-exploit/raw/main/exploit.sh · Exploit
• 🔥 https://raw.githubusercontent.com/febinrev/tinyfilemanager-2.4.6-exploit/main/exploit.sh · Exploit
• 🔥 http://packetstormsecurity.com/files/166330/Tiny-File-Manager-2.4.6-Shell-Upload.html · Exploit
• 🔥 https://exploit-db.com/exploits/50828 · Exploit
• 🔥 https://sploitus.com/exploit?id=1337DAY-ID-37364&utm_source=rss&utm_medium=rss · Exploit
• https://github.com/prasathmani/tinyfilemanager/pull/636 · Correção
• https://github.com/prasathmani/tinyfilemanager/commit/2046bbde72ed76af0cfdcae082de629bcc4b44c7 · Correção
• https://github.com/prasathmani/tinyfilemanager/pull/636/files/a93fc321a3c89fdb9bee860bf6df5d89083298d1 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-45010 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-45010 · Aviso do Fabricante
• https://febin0x4e4a.wordpress.com/2022/01/23/tiny-file-manager-authenticated-rce · Correção
• https://t.me/cibsecurity/38918 · Publicação no Telegram