Vulnerabilidad en za-internet C-MOR Video Surveillance 5.2401 (CVE-2024-45171)

Se ha descubierto un problema en za-internet C-MOR Video Surveillance 5.2401. Debido a una validación incorrecta de la entrada de usuario, es posible cargar archivos peligrosos, por ejemplo, código PHP, al sistema C-MOR. Al analizar la interfaz web de C-MOR, se descubrió que la función de carga de archivos de respaldo permite que un usuario autenticado cargue archivos arbitrarios. La única condición es que el nombre del archivo contenga una cadena .cbkf. Por lo tanto, webshell.cbkf.php se considera un nombre de archivo válido para la aplicación web C-MOR. Los archivos cargados se almacenan dentro del directorio "/srv/www/backups" en el sistema C-MOR y, por lo tanto, se puede acceder a ellos a través de la URL https:///backup/upload_. Debido a un control de acceso defectuoso, los usuarios autenticados con pocos privilegios también pueden utilizar esta función de carga de archivos.