PT-2022-25541 · Unknown · Roxy Fileman

Hadi Mene · Publicado 2022-11-09 · Atualizado 2025-05-01 · CVE-2022-40797

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Roxy Fileman versão 1.4.6

Descrição

A vulnerabilidade permite a execução remota de código por meio do upload de um arquivo .phar. Isso ocorre porque o valor padrão de FORBIDDEN UPLOADS no arquivo conf.json bloqueia apenas arquivos .php, .php4 e .php5. Em algumas configurações de servidor web, acessar qualquer arquivo .phar invoca o interpretador PHP.

Recomendações

Para o Roxy Fileman versão 1.4.6, considere atualizar o valor de FORBIDDEN UPLOADS no conf.json para incluir arquivos .phar, a fim de impedir a execução remota de código por meio de uploads de arquivos .phar. Como solução temporária, restrinja o acesso a arquivos .phar para minimizar o risco de exploração.

Exploit

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-40797

Produtos afetados

Roxy Fileman

Referências · 10

• 🔥 https://salsa.debian.org/php-team/php/-/blob/dc253886b5b2e9bc8d9e36db787abb083a667fd8/debian/php-cgi.conf#L5-6 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-40797 · Nota de Segurança
• https://gist.github.com/Hadi999/1f66fe7c5a217ca261ebfec36c630d18 · Nota
• https://osv.dev/vulnerability/CVE-2022-40797 · Aviso do Fabricante
• https://t.me/cvenotify/120531 · Publicação no Telegram
• https://t.me/cvenotify/38164 · Publicação no Telegram
• https://t.me/cvenotify/37402 · Publicação no Telegram
• https://web.archive.org/web/20210126213412/https://roxyfileman.com/download.php?f=1.4.6-php · Nota
• https://t.me/cvenotify/37364 · Publicação no Telegram
• http://packetstormsecurity.com/files/169964/Roxy-Fileman-1.4.6-Remote-Shell-Upload.html · Nota