Apache APISIX 2.12.x रिमोट कोड एक्ज़ीक्यूशन (RCE) शोषण

यह Python स्क्रिप्ट Apache APISIX संस्करण 2.12.0 और 2.12.1 में एक रिमोट कोड एक्ज़ीक्यूशन (RCE) कमजोरी के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) है।

यह कमजोरी एडमिन API के भीतर filter_func Lua फ़ील्ड के दुरुपयोग में निहित है, जो हमलावर को io.popen के माध्यम से सिस्टम कमांड निष्पादित करने वाले मनमाने Lua कोड को इंजेक्ट करने की अनुमति देती है। कमांड का उत्तर ngx.say() का उपयोग करके HTTP प्रतिक्रिया में लौटाया जाता है।

⚠️ अस्वीकरण: यह उपकरण केवल अधिकृत परीक्षण और शैक्षिक उद्देश्यों के लिए है। इसे उन सिस्टम पर उपयोग न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति नहीं है।

---

🧰 आवश्यकताएँ

• Python 3.6+
• requests लाइब्रेरी (pip install requests)

---

🚀 उपयोग

📁 फ़ाइल का नाम