CVE-2023-45878 in Gibbon

Tóm tắt

Bởi VulDB • 02/10/2026

GibbonEdu Gibbon phiên bản 25.0.1 và các phiên bản trước đó cho phép Ghi tệp tùy ý do rubrics_visualise_saveAjax.phps không yêu cầu xác thực. Điểm cuối này chấp nhận các tham số img, path và gibbonPersonID. Tham số img dự kiến là một hình ảnh được mã hóa base64. Nếu tham số path được đặt, đường dẫn đã định nghĩa sẽ được sử dụng làm thư mục đích, nối với đường dẫn tuyệt đối của thư mục cài đặt. Nội dung của tham số img được giải mã base64 và ghi vào đường dẫn tệp đã xác định. Điều này cho phép tạo các tệp PHP cho phép Thực thi mã từ xa (RCE) không cần xác thực.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Đặt trước: 15/10/2023
• Tiết lộ: 14/11/2023
• Kiểm duyệt: được chấp nhận
• mục: VDB-245114
• CPE: 20231114
• CWE: CWE-287 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.63113
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-45878
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-45878
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-45878/