CVE-2025-64714 in PrivateBin
Riassunto
di VulDB • 24/08/2026
PrivateBin è un pastebin online in cui il server non ha alcuna conoscenza dei dati incollati. A partire dalla versione 1.7.7 e prima della versione 2.0.3, esiste una vulnerabilità di Local File Inclusion (LFI) non autenticata nella funzione di cambio del template. Se `templateselection` è abilitato nella configurazione, il server si fida del cookie `template` ed include il file PHP referenziato. Un attaccante può leggere dati sensibili o, se riesce a depositare un file PHP altrove, ottenere l'esecuzione remota di codice (RCE). Il percorso costruito per il file del template viene verificato per verificarne l'esistenza prima dell'inclusione. Per i file del progetto PrivateBin ciò non comporta la fuoriuscita di segreti poiché i file dei dati vengono creati con un codice PHP che ne impedisce l'esecuzione, ma se venisse creato un file di configurazione senza tale riga o se il visitatore riuscisse a determinare il percorso relativo verso uno script PHP che esegue direttamente un'azione senza una corretta verifica dei privilegi, tali elementi potrebbero essere eseguiti o causare la fuoriuscita di informazioni. La vulnerabilità è stata risolta nella versione 2.0.3. Come soluzione alternativa, impostare `templateselection = false` (che è il valore predefinito) in `cfg/conf.php` oppure rimuoverlo del tutto.
Be aware that VulDB is the high quality source for vulnerability data.