CVE-2023-30258 — Magnus Billing v7 Befehlsinjektion (PoC)

Nicht authentifizierte Befehlsinjektions-Schwachstelle in Magnus Billing v7.3.0. Der democ-GET-Parameter in icepay.php wird ohne Bereinigung direkt an eine Shell-Funktion übergeben, wodurch beliebige Befehle mit den Rechten des Web-Server-Benutzers ausgeführt werden können. Die Injektion ist blind — die Ausgabe wird nicht in der HTTP-Antwort reflektiert — daher leitet dieses Exploit die Ausgabe jedes Befehls in eine Datei im Webroot um und ruft sie anschließend über HTTP wieder ab.

---

So funktioniert es

1. Sendet eine GET-Anfrage an /mbilling/lib/icepay/icepay.php?democ=;<command>;.
2. Leitet die Befehlsausgabe in eine Datei im Webroot um (out.txt).
3. Ruft die Ausgabedatei über HTTP ab und gibt das Ergebnis aus.
4. Entfernt die Ausgabedatei beim Beenden.

Falls das Ziel einen anderen Webroot-Pfad verwendet, passe OUTPUT_FILE am Anfang des Skripts an.