Les utilisateurs téléversent des photos de profil ; le serveur les stocke dans la racine web et les ressert. Quel est le risque ?

« Ce ne sont que des photos de profil » est l'hypothèse qui transforme un formulaire de téléversement en shell distant. Dès que des utilisateurs peuvent écrire un fichier dans un répertoire que le serveur web va servir et exécuter, la fonction de téléversement devient un canal de livraison de code.

Pourquoi c'est dangereux

Si le serveur exécute du PHP, JSP, ASPX, etc., un attaquant téléverse avatar.php au lieu d'un PNG, puis le demande — le serveur l'exécute, accordant une exécution de code à distance (RCE) et un point d'ancrage sur l'hôte. Même sans moteur de script, un fichier HTML ou SVG téléversé et servi depuis votre origine exécute du JavaScript dans le navigateur de vos utilisateurs, donnant un XSS stocké et le vol de session. Les attaquants contournent les contrôles naïfs avec des doubles extensions (shell.php.png), des octets nuls, de faux en-têtes Content-Type ou des fichiers polyglottes dont les magic bytes ressemblent à une image mais dont la fin est du code actif.

La bonne correction

Superposez les défenses :

• Validez le contenu réel, pas seulement l'extension ou le Content-Type fourni par le client — vérifiez les magic bytes et, idéalement, ré-encodez l'image pour neutraliser toute charge intégrée.
• Stockez les téléversements hors de la racine web ou sur un stockage objet / une origine distincte qui ne peut pas exécuter de code et sert avec un Content-Type neutre plus Content-Disposition: attachment.
• Randomisez les noms de fichiers pour que les attaquants ne puissent ni prédire ni écraser les chemins, et supprimez le nom d'origine.
• Restreignez la taille et le type, et lancez un antivirus/scan le cas échéant.

Pourquoi les autres réponses sont fausses

« Aucun risque — ce ne sont que des images » est précisément l'angle mort qui livre la vulnérabilité ; le type annoncé du fichier est contrôlé par l'attaquant. « Chargements plus lents » et « consommation disque excessive » sont de vrais soucis opérationnels, mais ils concernent la capacité, pas la compromission — un examinateur qui demande « quel est le risque ? » attend que vous nommiez le RCE / XSS stocké et les contrôles de stockage et de validation qui empêchent qu'un fichier téléversé soit jamais exécuté ou interprété comme balisage.