CVE-2023-35169

PHP-IMAP, php-imap modulunun quraşdırılmasına və ya aktiv edilməsinə ehtiyac olmadan ümumi IMAP kommunikasiyası üçün təminatdır (wrapper). Versiya 5.3.0-dan əvvəl təmizlənməmiş qoşma fayl adı, autentifikasiya olunmamış istifadəçilərə kataloq keçidi (directory traversal) boşluğundan istifadə etməyə imkan verir ki, bu da uzaqdan kodun icrasına (remote code execution) səbəb olur. Qoşmaları `$filename` təqdim etmədən və ya təmizlənməmiş istifadəçi girişini ötürməklə `Attachment::save()` vasitəsilə saxlayan hər bir tətbiq bu hücumdan təsirlənir. Hücumçu gələnlər qutusuna zərərli qoşması olan e-poçt göndərə bilər və bu poçt `webklex/php-imap` və ya `webklex/laravel-imap` ilə oxunar. Boşluğun yaranması üçün şərt odur ki, skript `src/Attachment::save(string $path, string $filename = null)` funksiyasında qoşmaları `$filename` təqdim etmədən və ya təmizlənməmiş `$filename` təqdim etməklə saxlasın. `Attachment::save()` metoduna heç bir `$filename` ötürülmədiyi halda, paket alternativ olaraq məktubdan götürülmüş bir sıra təmizlənməmiş və təhlükəsiz olmayan giriş dəyərlərindən istifadə edir. Tərtibatçı `Attachment::save()` metoduna `$filename` ötürdüyü halda belə (məsələn, e-poçt başlıqlarından qoşmanın adını və ya fayl adını ötürməklə), giriş dəyərləri paket tərəfindən heç vaxt təmizlənmir. Həmçinin fayl genişlənməsi (məsələn, ".php") və ya faylın məzmunu ilə bağlı heç bir məhdudiyyət yoxdur. Bu, hücumçuya alt istifadəçinin yazı icazələrinin olduğu istənilən məkana istənilən növ və məzmunda zərərli kod yükləməyə imkan verir. Hücumçu mövcud faylları yenidən yaza və məsələn, sistem tərəfindən cron və ya sorğular vasitəsilə icra edilən fayllara zərərli kod inyeksiya edə bilər. Versiya 5.3.0 bu problem üçün düzəliş (patch) ehtiva edir.