jkev Personnel Record Management System V1.0 Unrestricted File Upload to RCE (CVE-783473)

バグ关键情報サマリー 脆弱性概要 脆弱性説明：従業員情報入力インターフェースに重大な無制限ファイルアップロードの脆弱性が存在する。攻撃者はファイル形式の検証や認可メカニズムを回避し、悪意のある WebShell スクリプトをサーバーに直接アップロードできる。アップロードに成功した場合、攻撃者は即座にサーバーレベルの権限を取得し、完全なRCEを実現できる。これにより、リモートで任意のシステムコマンドを実行し、中核業務データを窃盗したり、ランサムウェアや仮想通貨マイニングプログラムを仕込んだり、さらに社内ネットワークの他のサーバーへの横断的侵食を企てる可能性がある。 --- 影響範囲 影響を受けるシステム：jkev Personnel Record Management System V1.0 対象ファイル： （従業員追加ページ） 攻撃エントリポイント：従業員情報入力インターフェース --- 修正方案 ページには具体的な修正方案が提供されていないため、以下のことを推奨する： 1. アップロードファイルに対して厳格な形式検証（ホワイトリスト方式）を実施する 2. アップロードファイルのリネームと非Webディレクトリへの隔離保存を行う 3. 認証および認可チェックを実施する 4. アップロードファイルサイズの制限を設ける --- 参照リソース 脆弱性情報ソース：https://github.com/whatsyourname12345/CVE/blob/main/PRMS/cve_Arbitrary%20File%20Upload%20to%20RCE.md VulDBエントリ：https://vuldb.com/?id=290884 報告者：@cherish (UID 96588) ステータス：審査済み (Reviewed) ポイント：20ポイント

目標達成 すべての支援者に感謝 — 100%達成しました！

jkev Personnel Record Management System V1.0 Unrestricted File Upload to RCE (CVE-783473)

目標達成すべての支援者に感謝 — 100%達成しました！