PT-2025-52321 · Unknown · File Thingie

Maurice Fielenbach · Publicado 2025-12-18 · Atualizado 2025-12-19 · CVE-2023-53942

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas File Thingie versão 2.5.7

Descrição O software apresenta uma vulnerabilidade de upload de arquivo autenticado que permite a atacantes remotos enviar arquivos ZIP PHP maliciosos para o servidor web. Os atacantes podem criar um payload PHP personalizado, enviá-lo e descompactá-lo, e então executar comandos arbitrários do sistema através de um script PHP manipulado com um parâmetro de comando. A vulnerabilidade requer autenticação mínima antes de permitir a execução completa de comandos do sistema.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2023-53942

Produtos afetados

File Thingie

Referências · 9

• 🔥 https://exploit-db.com/exploits/51436 · Exploit
• https://github.com/leefish/filethingie · Nota
• https://twitter.com/CVEnew/status/2002117784545693755 · Publicação no Twitter
• https://vulncheck.com/advisories/file-thingie-authenticated-arbitrary-file-upload-remote-code-execution · Nota
• https://osv.dev/vulnerability/CVE-2023-53942 · Aviso do Fabricante
• https://t.me/cveNotify/146255 · Publicação no Telegram
• https://twitter.com/0dayPublishing/status/2001746939994353812 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2001754185360876028 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-53942 · Nota de Segurança