Laravel FileManager असीमित फाइल अपलोड (CVE-2025-56399)

CWE-434: खतरनाक प्रकार की फाइल का असीमित अपलोड
CVSS स्कोर: 8.5 (उच्च)

📋 विवरण

यह उपकरण CVE-2025-56399 के लिए एक प्रूफ ऑफ कॉन्सेप्ट (PoC) प्रदान करता है, जो alexusmai/laravel-file-manager (संस्करण ≤ 3.3.1) में एक गंभीर कमजोरी है।

यह कमजोरी एक प्रमाणित हमलावर को रिमोट कोड निष्पादन (RCE) प्राप्त करने की अनुमति देती है, जो क्लाइंट-साइड सत्यापन को दरकिनार करते हुए एक विशेष रूप से तैयार फाइल अपलोड करके और इसे PHP एक्सटेंशन में नाम बदलकर करता है।

यह स्क्रिप्ट पूरी प्रक्रिया को स्वचालित करती है:

• FileManager एंडपॉइंट का पता लगाता है (कई लारवेल FileManager वेरिएंट का समर्थन करता है)
• CSRF टोकन निकालता है
• पेलोड अपलोड करता है और निष्पादन को सत्यापित करता है

🚨 कमजोरी का विवरण (CVE-2025-56399)

हमला श्रृंखला (CVE-2025-56399 के अनुसार)

1. एप्लिकेशन में प्रमाणित करें
2. FileManager इंटरफ़ेस तक पहुंचें (/file-manager)
3. PHP कोड वाली एक .png फाइल अपलोड करें
4. एक्सटेंशन को .php में बदलने के लिए रीनेम API का उपयोग करें
5. फाइल तक पहुंचें → सर्वर PHP कोड निष्पादित करता है → RCE प्राप्त

🛠️ स्थापना

git clone https://github.com/Jenderal92/laravel-filemanager-unrestricted-upload.git
cd laravel-filemanager-unrestricted-upload
pip install -r requirements.txt

आवश्यकताएँ

· पायथन 2.7 · requests · colorama

📖 उपयोग

python2 lfm.py list.txt

इनपुट प्रारूप (list.txt)

https://target1.com
https://target2.com
http://target3.com

आउटपुट

· valid.txt – मान्य शेल URL की सूची (पहुंचने के लिए ?shinday=1 जोड़ें)

उदाहरण आउटपुट:

https://target.com/storage/shxt_123456.php?shinday=1

🧪 एक्सप्लॉइट कैसे काम करता है

1. पता लगाना – सामान्य FileManager पथों की जाँच करता है: · /file-manager/tinymce · /file-manager/ckeditor · /file-manager/tinymce5 · /file-manager/summernote · /admin/file-manager/tinymce alexusmai/laravel-file-manager के लिए, डिफ़ॉल्ट पथ /file-manager है। यदि आवश्यक हो तो आप इसे स्क्रिप्ट में पथों की सूची में जोड़ सकते हैं।
2. CSRF टोकन निष्कर्षण – या _token इनपुट फ़ील्ड से टोकन निकालता है।
3. आरंभीकरण – डिस्क कॉन्फ़िगरेशन प्राप्त करने के लिए /file-manager/initialize को कॉल करता है।
4. अपलोड – प्रतिबंधों को बायपास करने के लिए .htaccess अपलोड करता है और फिर GIF MIME प्रकार के साथ पेलोड (shxt_.php) अपलोड करता है।
5. सत्यापन – जाँचता है कि ?shinday=1 स्ट्रिंग Shinday लौटाता है या नहीं; यदि हाँ, तो शेल मान्य है और valid.txt में सहेजा जाता है।

📂 पेलोड विवरण

अपलोड की गई PHP फाइल एक एकल-फ़ाइल वेब शेल है जो:

· सिस्टम जानकारी प्रदर्शित करता है (php_uname) · फाइल अपलोड फ़ॉर्म प्रदान करता है (अधिक उपकरण जोड़ने के लिए) · पैरामीटर ?shinday=1 के साथ पूर्ण शेल इंटरफ़ेस के साथ प्रतिक्रिया करता है · अन्यथा, पता लगाने से बचने के लिए एक मान्य GIF89a छवि आउटपुट करता है

शेल तक पहुंचें:

https://target.com/path/to/shxt_123456.php?shinday=1

🛡️ शमन

इस कमजोरी से बचाव के लिए:

1. पैकेज अपडेट करें – पैच की प्रतीक्षा करें (अभी तक कोई आधिकारिक सुधार नहीं)। alexusmai/laravel-file-manager को किसी विकल्प से बदलने पर विचार करें।
2. पहुंच प्रतिबंधित करें – सभी FileManager रूट्स में प्रमाणीकरण मिडलवेयर जोड़ें:
   root@kitploit:~

   Route::group(['middleware' => ['auth', 'admin']], function () {
       // File Manager routes
   });
   

3. यदि आवश्यक न हो तो अक्षम करें – पैकेज हटाएं:
   root@kitploit:~

   composer remove alexusmai/laravel-file-manager
   

4. PHP निष्पादन रोकें – स्टोरेज डायरेक्टरी में .htaccess फाइल रखें:
   root@kitploit:~

   <FilesMatch "\.(php|phtml|php3|php4|php5|phar)$">
       Deny from all
   </FilesMatch>
   

5. फाइल प्रकार सत्यापित करें – अपलोड की गई फाइलों के लिए सख्त सर्वर-साइड सत्यापन लागू करें।

📦 प्रभावित संस्करण

पैकेज | प्रभावित संस्करण alexusmai/laravel-file-manager ≤ 3.3.1

🔗 संदर्भ

· CVE-2025-56399 - NVD · GitHub सलाह (placeholder) · Snyk कमजोरी डेटाबेस · VulDB प्रविष्टि · alexusmai/laravel-file-manager

📜 अस्वीकरण

चेतावनी: यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण के लिए है। इसका उपयोग करके, आप निम्नलिखित से सहमत होते हैं:

· केवल उन सिस्टम का परीक्षण करें जिनके आप मालिक हैं या जिनके परीक्षण की स्पष्ट अनुमति है · इसका दुर्भावनापूर्ण उद्देश्यों के लिए उपयोग न करें · सभी लागू कानूनों का पालन करें

लेखक किसी भी दुरुपयोग या हुई क्षति के लिए कोई जिम्मेदारी नहीं लेता है।

अधिक अस्वीकरण आप Jenderal92 के कवर पर अस्वीकरण देख सकते हैं। आप इसे यहाँ !!! देख सकते हैं।