Des vulnérabilités critiques ont été découvertes dans le gestionnaire de fichiers web open source elFinder, ce qui pourrait permettre à des attaquants non authentifiés d'exécuter du code PHP arbitraire sur les serveurs qui hébergent le connecteur PHP dorsal d'elFinder.

Des chercheurs en sécurité ont répertorié cinq types de vulnérabilité qui combinent des " bugs inoffensifs " pour créer des chaînes d'exploitation capables de prendre contrôle de serveurs.

Les failles sont toutes notées 9.8. Les failles comprennent quatre problèmes affectant elFinder 2.1.58 qui peuvent permettre aux attaquants de déplacer ou de supprimer des fichiers arbitraires, ainsi que des bogues d'injection d'argument et de condition de course (CVE-2021-32682).

Les versions antérieures à 2.1.58 sont également affectées par un bug d'exécution de code à distance (RCE) qui est exploité via l'exécution de code PHP dans un fichier .phar , mais uniquement si le serveur analyse les fichiers .phar en tant que PHP (CVE-2021-23394).

Les vulnérabilités ont été signalées aux responsables du projet en mars et corrigées dans la version 2.1.59, qui a été publiée en juin. SonarSource a publié les détails techniques le 17 août.

En plus de la mise à jour des systèmes, Chauchefoin conseille aux utilisateurs d'appliquer un contrôle d'accès fort sur le connecteur comme contrôle de sécurité supplémentaire. Également il a exhorté les utilisateurs à mettre à jour leurs systèmes dès que possible.