CVE-2025-34030 - sar2html 'plot' पैरामीटर RCE

CVSS: 10.0 गंभीर
भेद्यता: OS कमांड इंजेक्शन
प्रोग्रामिंग भाषा: PHP
एक्सप्लॉइट कोड: Python

संदर्भ:

• https://nvd.nist.gov/vuln/detail/CVE-2025-34030
• https://www.vulncheck.com/advisories/sar2html-command-injection

विवरण

sar2html संस्करण <= 3.2.1 में index.php में plot पैरामीटर के माध्यम से एक अनप्रमाणित OS कमांड इंजेक्शन भेद्यता मौजूद है (index.php?plot=; <command>) निष्पादन के बाद भेद्यता का आउटपुट एप्लिकेशन के इंटरफ़ेस में प्रदर्शित होता है, "select # host" में कमांड आउटपुट होता है।

प्रूफ ऑफ कॉन्सेप्ट