CVE-2023-49544

Customer Support System 1.0 - تضمين الملفات المحلية

الوصف: Customer Support System 1.0 عرضة لثغرة تضمين الملفات المحلية (Local File Inclusion). يمكن للمستخدم المُصادَق عليه الوصول إلى ملفات PHP وقراءتها من نظام التشغيل عبر استغلال ثغرة تضمين الملفات المحلية (LFI) من خلال مرشح الغلاف.

إصدار المنتج المعرّض للثغرة: Customer Support System 1.0
مؤلف CVE: Geraldo Alcântara
التاريخ.: 28/11/2023
تم التأكيد في: 19/12/2023
CVE: CVE-2023-49544
تم الاختبار على: Windows

خطوات إعادة الإنتاج:

1. سجّل الدخول إلى التطبيق باستخدام أي مستخدم.
2. عدّل المعامل "page" المعرّض للثغرة لاستغلال الثغرة.
   الحمولة: php://filter/convert.base64-encode/resource=C:\xampp\htdocs\customer_support\db_connect

استغلال الثغرة واسترجاع محتوى ملف PHP بصيغة base64.

قراءة محتوى الملف (بعد فك ترميز Base64).

المكتشف(ون)/الاعتمادات:
Geraldo Alcântara