Erugo is a self-hosted file-sharing platform. In versions up to and including 0.2.14, an authenticated low-privileged user can upload arbitrary files to any specified location due to insufficient validation of user‑supplied paths when creating shares.
By specifying a writable path within the public web root, an attacker can upload and execute arbitrary code on the server, resulting in remote code execution (RCE). This vulnerability allows a low-privileged user to fully compromise the affected Erugo instance. Version 0.2.15 fixes the issue.
Erugo file-sharing platform versions up to 0.2.14 allow authenticated low-privileged users to upload arbitrary files to any location due to insufficient path validation, enabling remote code execution. An attacker can exploit this to upload malicious files to the web root and execute arbitrary code, fully compromising the server.
تمثل هذه الثغرة الأمنية خطراً حرجاً على المؤسسات السعودية التي تستخدم منصة إيروغو لمشاركة الملفات داخلياً. تنشأ الثغرة من عدم كفاية التحقق من صحة المسارات التي يوفرها المستخدم عند إنشاء المشاركات، مما يسمح بهجمات اجتياز المسارات. يستطيع المهاجم ذو الصلاحيات المنخفضة تحديد مسار قابل للكتابة ضمن الجذر العام للويب وتحميل ملفات خبيثة قابلة للتنفيذ. بمجرد تحميل هذه الملفات، يمكن للمهاجم تنفيذها عبر متصفح الويب لتحقيق تنفيذ تعليمات برمجية عن بُعد والسيطرة الكاملة على الخادم. تشكل هذه الثغرة تهديداً مباشراً لسرية وسلامة وتوافر البيانات الحساسة المخزنة على المنصة، وقد تؤدي إلى اختراق شامل للبنية التحتية المتصلة. يتوفر استغلال عملي لهذه الثغرة مما يزيد من خطورتها وإلحاحية معالجتها فوراً.
تحتوي منصة إيروغو لمشاركة الملفات في الإصدارات حتى 0.2.14 على ثغرة حرجة في اجتياز المسارات بدرجة خطورة 10.0 وفق معيار CVSS. يمكن لمستخدم مصادق عليه بصلاحيات منخفضة استغلال ضعف التحقق من المسارات أثناء إنشاء المشاركات لتحميل ملفات تعسفية إلى أي موقع على الخادم بما في ذلك الجذر العام للويب. تتيح هذه الثغرة للمهاجمين تنفيذ تعليمات برمجية خبيثة عن بُعد والسيطرة الكاملة على النظام المتأثر، مع توفر استغلالات نشطة في البرية.
Immediately upgrade Erugo to version 0.2.15 or later and audit all file uploads for suspicious content.
قم بترقية Erugo إلى الإصدار 0.2.15 أو أحدث فوراً وتدقيق جميع الملفات المرفوعة للتحقق من المحتوى المريب.