..| CSRF_to_Command_Injection2 |..

描述：

利用跨站请求伪造（CSRF）攻击，通过Webmin的文件管理器功能实现命令注入

测试版本：

Webmin 1.973（GitHub最新版本 2021年3月7日）

攻击类型：

远程

影响：

命令执行

利用代码POC：

产品供应商：

https://www.webmin.com

附加信息：

"Webmin 是一款基于Web的Unix-like服务器及服务系统管理工具，全球安装量超过100万。通过它，可以配置操作系统内部设置，如用户、磁盘配额、服务或配置文件，还可以修改和控制开源应用，例如BIND DNS Server、Apache HTTP Server、PHP、MySQL等" 引自Webmin的GitHub

发现者：

Mesh3l_911 与 Z0ldyck
Twitter： @mesh3l_911 ，@electronicbots