CVE-2025-60787: मोशनआई दूरस्थ कोड निष्पादन (RCE)

CVE-2025-60787 के लिए पेशेवर प्रूफ-ऑफ-कॉन्सेप्ट (PoC), जो MotionEye (संस्करण ≤ 0.43.1b4) में एक गंभीर दूरस्थ कोड निष्पादन (RCE) भेद्यता है।

तकनीकी अवलोकन

यह भेद्यता configUiValid JavaScript फ़ंक्शन में क्लाइंट-साइड सत्यापन बायपास से उत्पन्न होती है। जबकि UI फ़ाइलनाम फ़ील्ड को मान्य करता है, सर्वर-साइड camera-N.conf फ़ाइलों में लिखने से पहले इन इनपुट को ठीक से स्वच्छित करने में विफल रहता है। एक हमलावर image_file_name पैरामीटर के माध्यम से मनमाने शेल कमांड इंजेक्ट कर सकता है, जिससे सेवा पुनः लोड या पुनरारंभ होने पर पूर्ण सिस्टम समझौता हो जाता है।

स्थापना

पर्यावरण और शोषण टूल स्थापित करने के लिए इन चरणों का पालन करें:

# Clone the repository
git clone [https://github.com/Rohitberiwala/Motioneye-RCE-CVE-2025-60787](https://github.com/Rohitberiwala/Motioneye-RCE-CVE-2025-60787)
cd Motioneye-RCE-CVE-2025-60787

# Install required dependencies
pip install requests

## Usage
```bash
# Execute the exploit to create a marker file in /tmp
python3 exploit.py --target [TARGET_IP] --cmd "id > /tmp/hacked"