phpTransformer 2016.9 Transposição de Diretório via jQueryFileUpload

A exploração bem-sucedida desta vulnerabilidade permite que um atacante leia arquivos fora do diretório pretendido. Ao manipular o parâmetro de caminho com sequências como '../', um invasor pode navegar pelo sistema de arquivos e acessar arquivos confidenciais, como arquivos de configuração, código-fonte ou dados de usuários. O impacto pode variar dependendo dos arquivos acessíveis, mas pode levar à divulgação de informações sensíveis, comprometimento da integridade do sistema e, em alguns casos, execução remota de código se arquivos executáveis forem acessíveis e executáveis.

Web applications utilizing phpTransformer versions 2016.9 through 2016.9 are at risk. This includes applications that rely on phpTransformer for image processing or other file manipulation tasks. Shared hosting environments where multiple users share the same server are particularly vulnerable, as a compromise of one application could potentially expose files belonging to other users.

• php: Examine access logs for requests containing traversal sequences like '../' in the path parameter.

grep '../' /var/log/apache2/access.log

• php: Check for unusual file access patterns in server logs.

journalctl -u apache2 | grep -i "file not found"

• generic web: Use curl to test the jQueryFileUploadmaster endpoint with various traversal sequences.

curl 'http://your-server/jqueryFileUploadmaster?path=../../../../../../etc/passwd'

1. 2026-03-21Disclosure

   disclosure

1. Reservado2026-03-21
2. Publicada2026-03-21
3. Modificada2026-03-24
4. EPSS atualizado2026-03-29

A mitigação primária é atualizar o phpTransformer para uma versão corrigida, assim que disponível. Enquanto isso, implemente medidas de segurança adicionais, como restringir o acesso ao endpoint jQueryFileUploadmaster através de um firewall de aplicação web (WAF) ou proxy reverso. Configure o WAF para bloquear solicitações com sequências de traversal de diretório (../). Monitore os logs de acesso e erro em busca de tentativas de acesso a arquivos fora do diretório esperado.