Загрузка файлов на форме: резюме и картинки, которые не должны исполняться

Вакансия, рекламация, загрузка чека, аватар в кабинете. Файл нужен бизнесу. Ошибка одна и та же: его сохраняют туда, откуда сайт раздаёт страницы, и верят расширению в имени. Дальше чужой файл открывается по ссылке уже как часть вашего домена. Для посетителя это ваш сайт. Для вас это страница, которую вы не писали.

Что спросить у того, кто делал форму

• Куда физически ложится файл и можно ли его открыть как страницу сайта.
• Проверяется ли тип на сервере, а не только подпись «.pdf» в имени.
• Есть ли предел размера и числа загрузок. Форма без предела становится способом положить диск.
• Кто из сотрудников скачивает эти файлы и не запускает ли их «чтобы посмотреть».

Антивирус на компьютере менеджера не заменяет настройку формы. Он не видит то, что уже отдаётся посетителям с вашего домена. WAF часть автоматических загрузок отсекает и часть пропускает, особенно если файл выглядит как обычный документ. Это фильтр, не проверка логики.

На пентесте сайта Lexora такие формы смотрит отдельно, если они есть в контуре: не «ломаем сервер», а проверяем, остаётся ли загруженное внутри сценария, который вы сами описали. Если формы ещё не смотрели совсем, новым клиентам начинаем с бесплатного аудита и говорим, нужен ли отдельный проход. Исправление на сайте, который у нас на сопровождении, закрываем вместе с разработкой.