JVNDB-2025-023671

 Frances LeeseのFile Thingieにおける危険なタイプのファイルの無制限アップロードに関する脆弱性

File Thingie 2.5.7 には、認証済みのファイルアップロード脆弱性が存在し、リモートの攻撃者が悪意のある PHP zip アーカイブをウェブサーバーにアップロードすることが可能です。攻撃者はカスタム PHP ペイロードを作成してアップロードし、解凍した後に、コマンドパラメータを持つ細工された PHP スクリプトを利用して任意のシステムコマンドを実行できます。

Frances Leese

• File Thingie 2.5.7

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Exploit Database

• Exploits : File Thingie 2.5.7 - Remote Code Execution (RCE) - PHP webapps Exploit

VulnCheck

• VulnCheck Advisories : File Thingie 2.5.7 Authenticated Arbitrary File Upload Remote Code Execution  | Advisories | VulnCheck

1. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2023-53942

1. National Vulnerability Database (NVD) : CVE-2023-53942
2. 関連文書 : GitHub - leefish/filethingie: PHP File Manager

• [2026年01月06日]
    掲載