CVE-2025-34030 - ثغرة تنفيذ الأوامر عن بعد (RCE) في sar2html عبر معامل 'plot'

CVSS: 10.0 حرجة
الثغرة: حقن أوامر نظام التشغيل (OS Command Injection)
لغة البرمجة: PHP
كود الاستغلال: Python

المراجع:

• https://nvd.nist.gov/vuln/detail/CVE-2025-34030
• https://www.vulncheck.com/advisories/sar2html-command-injection

الوصف

يحتوي sar2html الإصدار 3.2.1 أو أقل على ثغرة غير مصادقة لحقن أوامر نظام التشغيل عبر معامل plot في index.php (index.php?plot=; <command>) حيث يُعرض ناتج الثغرة في واجهة التطبيق بعد التنفيذ، ويحتوي "select # host" على ناتج الأمر.

إثبات المفهوم