CVE-2025-34030 - RCE en el parámetro 'plot' de sar2html

CVSS: 10.0 Crítico
Vulnerabilidad: Inyección de comandos del sistema operativo
Lenguaje de programación: PHP
Código del exploit: Python

Referencias:

• https://nvd.nist.gov/vuln/detail/CVE-2025-34030
• https://www.vulncheck.com/advisories/sar2html-command-injection

Descripción

sar2html versión <= 3.2.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación a través del parámetro plot en index.php (index.php?plot=; <command>). La salida de la vulnerabilidad se muestra en la interfaz de la aplicación después de la ejecución; "select # host" contiene la salida del comando.

Prueba de concepto