Après avoir capturé la session, l'attaquant accède à l'interface d'administration, en particulier à l'éditeur de modèles. En utilisant cette fonctionnalité, l'attaquant injecte du code PHP dans un fichier .tpl pour établir un web shell persistant et exécuter des commandes arbitraires sur le serveur.

Remarque : Pour éviter toute utilisation abusive, aucune charge utile ou extrait de code spécifique n'est inclus. Les organisations sont vivement encouragées à mettre en œuvre la validation des entrées, le renforcement des sessions et les contrôles d'accès sur les fonctionnalités d'administration.

Étapes d'exploitation (Haut niveau)

1. L'attaquant soumet un rapport spécialement conçu contenant un script malveillant.
2. L'administrateur ouvre le rapport via le tableau de bord d'administration.
3. Le script s'exécute et le cookie de session de l'administrateur est capturé.
4. En utilisant la session, l'attaquant se connecte au panneau d'administration.
5. L'attaquant injecte du PHP dans un fichier modèle via l'éditeur de modèles.
6. L'exécution de code à distance est réalisée via le shell téléchargé.

Impact

• Prise de contrôle administrative complète
• Exécution de commandes arbitraires sur le serveur
• Fuite ou modification de données
• Persistance potentielle via des portes dérobées téléchargées

Découvreurs

• Furkan Mehmet Yıldız
• Emrullah Baha Yılmaz

Informations CVE

• CVE ID: CVE-2025-50754
• Statut : RÉSERVÉ (avis public en attente)

Preuve de concept (PoC)

L'exploitation réussie a été confirmée en téléchargeant un web shell personnalisé (s.php) via l'éditeur de modèles et en exécutant des commandes au niveau du système d'exploitation. L'image suivante expurgée montre la sortie de la commande id; ls -la exécutée via le web shell :

Références

• Enregistrement CVE : https://cve.org/CVERecord?id=CVE-2025-50754

Atténuations temporaires

Aucun correctif officiel n'est disponible de la part du fournisseur au moment de la publication. Pour réduire les risques :

• Nettoyer et échapper toutes les entrées utilisateur affichées dans le panneau d'administration.
• Éviter d'afficher du HTML ou JavaScript non fiable.
• Appliquer une politique de sécurité du contenu (CSP) stricte.
• Limiter l'accès aux fonctionnalités sensibles comme l'éditeur de modèles.

Signalé par Furkan Yıldız & Baha Yılmaz