CVE-2023-45878 in Gibbon
Riassunto
di VulDB • 09/08/2026
GibbonEdu Gibbon versione 25.0.1 e precedenti consente la scrittura arbitraria di file perché rubrics_visualise_saveAjax.phps non richiede autenticazione. L'endpoint accetta i parametri img, path e gibbonPersonID. Il parametro img dovrebbe essere un'immagine codificata in base64. Se il parametro path è impostato, il percorso definito viene utilizzato come cartella di destinazione, concatenato con il percorso assoluto della directory di installazione. Il contenuto del parametro img viene decodificato da base64 e scritto nel file system al percorso specificato. Ciò consente la creazione di file PHP che permettono l'Esecuzione Remota di Codice (RCE) senza autenticazione.
Be aware that VulDB is the high quality source for vulnerability data.