CWE-434
MITRE Неограниченная загрузка файлов
Unrestricted Upload
CWE-434 — неограниченная загрузка файлов: принимаются файлы опасных типов, которые обрабатываются автоматически. Уязвимость встречается на веб-серверах, где имя и тип присланного файла проверяются только на клиенте, а сам файл попадает в каталог, доступный веб-серверу. Злоумышленник размещает в файле исполняемый код и добивается его выполнения на сервере или в браузере.
Как защититься от CWE-434
Чтобы защититься от CWE-434, задайте ограниченный белый список расширений и проверяйте на сервере тип, размер и содержимое файла по правилу «принимать только заведомо допустимое», дублируя проверки интерфейса. Сохраняйте загруженные файлы под сгенерированными именами вне корневого каталога сайта и выдавайте их отдельным обработчиком, а саму обработку запускайте с минимальными правами в изолированной среде.
Уязвимости с типом CWE-434 (50)
К
10.0Уязвимость системы управления контентом InstantCMS, связанная с неограниченной загрузкой файлов опасного типа, позволяющ2026-09-15 В
8.3Уязвимость системы управления содержимым сайта DIAFAN.CMS, связанная с неограниченной загрузкой файлов опасного типа, по2026-09-08 В
8.9Уязвимость веб-модуля Open Interface Service программного средства управления и контроля систем видеонаблюдения и безопа2026-09-08 В
8.3Уязвимость системы управления интернет-магазином ReadyScript, связанная с неограниченной загрузкой файлов опасного типа,2026-08-14 В
8.8Уязвимость системы управления интернет-магазином ReadyScript, связанная с неограниченной загрузкой файлов опасного типа,2026-08-14 В
8.1Уязвимость метода checkExtractItems() файла elFinderVolumeDriver.class.php файлового менеджера elFinder, позволяющая нар2026-08-03 С
6.1Уязвимость обработчика PlatformHandler.axd программной платформы «Проект-СМАРТ Про» и программного комплекса «Свод-СМАРТ2026-07-20 С
6.1Уязвимость модуля «Фото До и После: сравнение изображений до/после» системы управления содержимым сайтов (CMS) 1С-Битрик2026-07-20 К
9.6Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source, Adobe Commerce и Adob2026-07-14 С
6.5Уязвимость функции EditReleasePost() файла routers/web/repo/release.go и функции UpdateRelease() файла services/release/2026-07-13 К
10.0Уязвимость компонента com_baforms расширения Balbooa Forms системы управления контентом Joomla, позволяющая нарушителю в2026-07-09 В
7.1Уязвимость плагина AdminerFileUpload модуля plugins/file-upload.php программного обеспечения для управления базами данны2026-07-09 К
10.0Уязвимость программной платформы ColdFusion, связанная с неограниченной загрузкой файлов опасного типа, позволяющая нару2026-06-30 К
10.0Уязвимость программной платформы ColdFusion, связанная с неограниченной загрузкой файлов опасного типа, позволяющая нару2026-06-30 К
10.0Уязвимость метода browse.ajaxAddPicture расширения PageBuilder CK системы управления содержимым Joomla, позволяющая нару2026-06-27 В
7.3Уязвимость компонента для обработки файлов /web/jquery/uploader/uploadify.php микропрограммного обеспечения сетевых хран2026-06-15 В
7.3Уязвимость компонента для загрузки файлов /mydlink/multi_uploadify.php микропрограммного обеспечения сетевых хранилищ D-2026-06-15 В
7.3Уязвимость компонента для сохранения изменений и настроек устройства /web/function/save_ajax.php микропрограммного обесп2026-06-15 К
9.8Уязвимость конструктора страниц SP Page Builder системы прикладного программного обеспечения JoomShaper, позволяющая нар2026-06-15 В
7.3Уязвимость URL-обработчика веб-интерфейса /web/web_file/upload.php микропрограммного обеспечения сетевых хранилищ D-Link2026-06-15 В
6.9Уязвимость сценария /web/jquery/uploader/multi_uploadify.php микропрограммного обеспечения сетевых хранилищ D-Link DNS-32026-06-15 В
8.7Уязвимость модуля soundlang веб-интерфейса управления системами IP-телефонии FreePBX, позволяющая нарушителю выполнить п2026-06-12 В
6.9Уязвимость устройств релейной защиты, автоматики и контроля SIPROTEC 5, связанная с неограниченной загрузкой файлов опас2026-06-09 В
7.5Уязвимость библиотеки загрузки файлов на сервер Flask-Reuploaded, связанная с недостатками механизма обработки регистроз2026-06-06 К
10.0Уязвимость службы развертывания и управления Azure Orbital Spatio программной платформы Microsoft Azure, позволяющая нар2026-05-21 В
8.7Уязвимость веб-интерфейса на базе искуственного интеллекта Open WebUI, связанная с неограниченной загрузкой файлов опасн2026-05-09 К
9.6Уязвимость модуля «Настраиваемая форма обратной связи» системы управления содержимым сайтов (CMS) 1С-Битрикс: Управление2026-05-07 В
9.1Уязвимость функции mime_content_type() системы управления контентом Piwigo, позволяющая нарушителю выполнить произвольны2026-04-26 К
9.8Уязвимость функции fetch_gravatar_from_remote() плагина Breeze Cache системы управления содержимым сайта WordPress, позв2026-04-21 Н
4.6Уязвимость функции zipfile.is_zipfile() модуля pip языка программирования Python, позволяющая нарушителю записывать прои2026-03-26 С
5.3Уязвимость библиотеки golang.org/x/image/tiff языка программирования Go, позволяющая нарушителю выполнить произвольный к2026-03-25 С
5.0Уязвимость архиватора GNU Tar, связанная с отсутствием ограничений на загрузку файлов, позволяющая нарушителю оказать во2026-03-22 В
8.6Уязвимость функции импорта модулей системы управления взаимоотношениями с клиентами vTiger CRM, позволяющая нарушителю п2026-03-21 В
8.7Уязвимость модуля Documents системы управления взаимоотношениями с клиентами vTiger CRM, позволяющая нарушителю получить2026-03-21 В
8.8Уязвимость контроллера зон хранения программного обеспечения для совместной работы с контентом ShareFile, позволяющая на2026-03-16 К
9.8Уязвимость программного обеспечения для лицензирования Microsoft Devices Pricing Program, связанная с неограниченной заг2026-03-05 С
5.3Уязвимость плагина trx_addons системы управления содержимым сайта WordPress, позволяющая нарушителю загружать произвольн2026-03-02 К
9.3Уязвимость платформы для обмена файлами MFlash, связанная с неограниченной загрузкой файлов опасного типа, позволяющая н2026-02-09 В
8.8Уязвимость функции управления сертификатами веб-интерфейса платформы планирования и проведения видеоконференций Cisco Me2026-02-04 В
9.4Уязвимость платформы для автоматизации рабочих процессов n8n, связанная с отсутствием ограничений на загрузку файлов, по2026-02-04 К
9.8Уязвимость системы централизованного управления мультимедийным контентом MagicINFO 9, связанная с неограниченной загрузк2026-02-02 К
8.8Уязвимость системы централизованного управления мультимедийным контентом MagicINFO 9, связанная с неограниченной загрузк2026-02-02 К
10.0Уязвимость автономной платформы для обмена файлами Erugo, связанная с неверным ограничением имени пути к каталогу с огра2026-01-28 С
5.3Уязвимость программного комплекса «Взлет СП», связанная с неограниченной загрузкой файлов опасного типа, позволяющая нар2026-01-23 К
10.0Уязвимость системы планирования и оперативного управления полётами OpenSky, связанная с неограниченной загрузкой файлов 2026-01-19 К
10.0Уязвимость системы планирования и оперативного управления полётами OpenSky, связанная с неограниченной загрузкой файлов 2026-01-19 В
8.8Уязвимость системы планирования и оперативного управления полётами OpenSky, связанная с неограниченной загрузкой файлов 2026-01-19 К
9.8Уязвимость компонента LivewireFilemanagerComponent.php файлового менеджера Livewire Filemanager, позволяющая нарушителю 2026-01-16 Н
2.0Уязвимость модуля tarfile языка программирования Python, позволяющая нарушителю оказать воздействие на целостность защищ2026-01-16 К
9.8Уязвимость функции openssl_private_decrypt() плагина WPvivid Backup & Migration системы управления содержимым сайта Word2026-01-12Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-434 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
