CVE-2019-15642

总结

rpc.cgi（Webmin 至 1.920 版本）允许通过精心构造的对象名称进行经过身份验证的远程代码执行，原因是 unserialise_variable 会执行 eval 调用。注意：Webmin_Servers_Index 文档指出“RPC 可用于在服务器上运行任意命令或修改任意文件，因此不得向不受信任的 Webmin 用户授予其访问权限。”

• CVE-2019-15642漏洞利用

  针对 Webmin (CVE-2019-15642) 的已认证远程代码执行漏洞利用工具。提供一个 Python 脚本，可通过 rpc.cgi 端点在存在漏洞的 Webmin 服务器上执行任意命令。