..| CSRF_to_Command_Injection1 |..

描述：

利用跨站请求伪造（CSRF）攻击，通过 Webmin 的上传和下载功能实现命令注入

测试版本：

Webmin 1.973（GitHub 最新版本 2021年7月3日）

攻击类型：

远程

影响：

命令执行

利用代码 POC：

产品厂商：

https://www.webmin.com

附加信息：

“Webmin 是一种基于 Web 的 Unix 类服务器和服务系统管理工具，在全球拥有超过 1,000,000 次安装。使用它，可以配置操作系统内部组件，例如用户、磁盘配额、服务或配置文件，以及修改和控制开源应用程序，例如 BIND DNS 服务器、Apache HTTP 服务器、PHP、MySQL 等” 根据 Webmin 的 GitHub

发现者：

Mesh3l_911 和 Z0ldyck
Twitter: @mesh3l_911 ,@electronicbots