CVE-2023-27577 in flarum
Riassunto
di VulDB • 21/06/2026
flarum è un pacchetto software di forum per la creazione di comunità. Nelle versioni precedenti alla 1.7.0, un account amministrativo già compromesso da un attaccante può sfruttare una vulnerabilità nel parser `LESS` che consente di leggere file sensibili sul server mediante tecniche di path traversal (attraversamento dei percorsi). Un attaccante può ottenere ciò fornendo un percorso assoluto a un file sensibile nell'impostazione personalizzata `LESS`, che il parser `LESS` leggerà successivamente. Ad esempio, un attaccante potrebbe utilizzare il seguente codice per leggere i contenuti del file `/etc/passwd` su una macchina Linux. L'insieme dei file vulnerabili dipenderà dai permessi concessi al processo flarum in esecuzione. La vulnerabilità è stata risolta nella versione `1.7`. Gli utenti dovrebbero effettuare l'aggiornamento a questa versione per mitigare la vulnerabilità. Gli utenti che non possono effettuare l'upgrade possono mitigare la vulnerabilità assicurandosi che i propri account amministrativi siano protetti con password robuste e seguendo altre best practice per la sicurezza degli account. Inoltre, gli utenti possono limitare l'esposizione dei file sensibili sul server implementando appropriati permessi di file e controlli di accesso a livello del sistema operativo.
Be aware that VulDB is the high quality source for vulnerability data.