phpTransformer 2016.9 Traversal de répertoire via jQueryFileUpload

Cette vulnérabilité permet à un attaquant d'accéder à des fichiers sensibles situés en dehors du répertoire prévu. En manipulant le paramètre de chemin avec des séquences comme '../…/…/', l'attaquant peut lister et récupérer des fichiers critiques, tels que des fichiers de configuration, des clés API, ou même du code source. L'impact peut être significatif, allant de la divulgation d'informations confidentielles à la prise de contrôle du serveur, en fonction des fichiers accessibles et des privilèges de l'utilisateur exécutant phpTransformer. Bien qu'il n'y ait pas de cas d'exploitation publique connus, la simplicité de l'exploitation rend cette vulnérabilité particulièrement préoccupante.

Web applications utilizing phpTransformer versions 2016.9 through 2016.9 are at risk. This includes applications that rely on phpTransformer for image processing or other file manipulation tasks. Shared hosting environments where multiple users share the same server are particularly vulnerable, as a compromise of one application could potentially expose files belonging to other users.

• php: Examine access logs for requests containing traversal sequences like '../' in the path parameter.

grep '../' /var/log/apache2/access.log

• php: Check for unusual file access patterns in server logs.

journalctl -u apache2 | grep -i "file not found"

• generic web: Use curl to test the jQueryFileUploadmaster endpoint with various traversal sequences.

curl 'http://your-server/jqueryFileUploadmaster?path=../../../../../../etc/passwd'

1. 2026-03-21Disclosure

   disclosure

1. Réservé2026-03-21
2. Publiée2026-03-21
3. Modifiée2026-03-24
4. EPSS mis à jour2026-03-29

La mitigation principale consiste à mettre à jour phpTransformer vers une version corrigée. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire pourrait consister à restreindre l'accès au serveur jQueryFileUploadmaster via un pare-feu ou un proxy inverse. Il est également possible de configurer le serveur web pour interdire les requêtes contenant des séquences de parcours de répertoire (par exemple, en utilisant des règles WAF). Après la mise à jour, vérifiez l'intégrité des fichiers phpTransformer pour confirmer que la correction a été correctement appliquée.