CVE-2025-34030 - sar2html paramètre 'plot' RCE

CVSS: 10.0 Critique
Vulnérabilité : Injection de commandes OS
Langage de programmation : PHP
Code d'exploitation : Python

Références :

• https://nvd.nist.gov/vuln/detail/CVE-2025-34030
• https://www.vulncheck.com/advisories/sar2html-command-injection

Description

La version <= 3.2.1 de sar2html contient une vulnérabilité d'injection de commandes OS non authentifiée via le paramètre plot dans index.php (index.php?plot=; <command>). La sortie de la vulnérabilité est affichée dans l'interface de l'application après exécution ; « select # host » contient la sortie de la commande.

Preuve de concept