PT-2022-26521 · Sourcecodester · Sourcecodester Human Resource Management System

Ngo Van Tu · Publicado 2022-12-03 · Atualizado 2024-01-25 · CVE-2022-4273

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gestão de Recursos Humanos SourceCodester, versão 1.0

Descrição

Foi encontrada uma falha crítica no componente Content-Type Handler, afetando especificamente o arquivo /hrm/controller/employee.php. A manipulação do argumento pfimg leva ao upload irrestrito. Essa falha pode ser explorada remotamente.

Recomendações

Para o Sistema de Gestão de Recursos Humanos SourceCodester versão 1.0, considere desativar a funcionalidade de upload de arquivos no arquivo /hrm/controller/employee.php até que um patch esteja disponível. Restrinja o acesso ao componente Content-Type Handler para minimizar o risco de exploração. Evite usar o argumento pfimg no endpoint da API afetado até que a falha seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Incorrect Privilege Assignment

Unrestricted File Upload

Enumeração de Fraquezas

CWE-266

CWE-434

Identificadores relacionados

CVE-2022-4273

Produtos afetados

Sourcecodester Human Resource Management System

Referências · 7

• 🔥 https://github.com/leecybersec/bug-report/tree/main/sourcecodester/oretnom23/hrm/bypass-fileupload-rce · Exploit
• https://t.me/cvenotify/39225 · Publicação no Telegram
• https://t.me/cibsecurity/53946 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-4273 · Nota de Segurança
• https://vuldb.com/?id.214769 · Nota
• https://t.me/cvenotify/39046 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-4273 · Aviso do Fabricante