www.verl.de

Bugsink: https://bugsink.cytrus.de/issues/issue/c38b5d2e-d3e9-4f6d-94b1-78d632b48629/event/last/

Typ: NEW issue

Projekt: www-verl-de

Bugsink Alert

ErrorException: Warning: filesize(): stat failed for /srv/www/www.verl.de/pages/public/uploads/tx_powermail/1jzp3neys___or_112__select_112_from_pg_sl…

Automatisch erstellt durch n8n

KI-Analyse:

Analyse des Fehlers: SQL-Injection-Versuch über Dateinamen

1. Ursache identifizieren¶

Ein Angreifer hat versucht, eine Datei mit einem manipulierten Dateinamen hochzuladen. Der Dateiname enthält einen SQL-Injection-Versuch:
1jzp3neys___or_112__select_112_from_pg_sleep_15__--

Dieser Versuch zielt darauf ab, eine SQL-Abfrage zu manipulieren, wahrscheinlich um eine Verzögerung (pg_sleep(15)) herbeizuführen oder Daten aus der Datenbank zu extrahieren. Die TYPO3-Extension tx_powermail hat den Dateinamen anscheinend nicht ausreichend bereinigt, bevor er auf der Festplatte gespeichert wurde. Die Funktion filesize() schlägt dann fehlert, da der Dateiname ungültige Zeichen enthält.

2. Fix beschreiben (konkret)¶

Sofortmaßnahme:

• Die betroffene Datei sofort vom Server löschen (Pfad: /srv/www/www.verl.de/pages/public/uploads/tx_powermail/...).
• Überprüfen, ob bereits andere Dateien mit ähnlichen manipulierten Namen hochgeladen wurden.

Langfristige Fix:

• In der Extension tx_powermail (oder allgemein in der Datei-Upload-Logik) eine strikte Validierung und Bereinigung der Dateinamen implementieren.
• Nur erlaubte Zeichen (z.B. alphanumerisch, Unterstrich, Bindestrich, Punkt) zulassen.
• Sonderzeichen, die für SQL-Injection verwendet werden können (wie ', ", ;, --, or, select), müssen entfernt oder ersetzt werden.
• Verwendung von prepared statements in allen Datenbankabfragen, um SQL-Injection generell zu verhindern.

3. Betroffene TYPO3 Extension nennen¶

tx_powermail (oder ein similarly benanntes Powermail-Plugin). Der Pfad uploads/tx_powermail/ weist explizit auf diese Extension hin.

4. Confidence (0-100%)¶

95%

Begründung:

• Der Dateiname enthält eindeutige SQL-Injection-Muster (or_112__select_112_from_pg_sleep_15__--).
• Der Fehler tritt im Kontext von tx_powermail auf.
• Die fehlende Validierung von Dateinamen ist eine bekannte Schwachstelle in Extensions, die Datei-UploadsHandling durchführen.
• Die Empfehlung zur Validierung und Bereinigung von Dateinamen ist standardmäßig und effektiv.