ScriptCase - 预认证远程命令执行

链式利用管理员密码重置（认证绕过，CVE-2025-47227）与 shell 注入（认证后远程命令执行，CVE-2025-47228）

预认证远程命令执行通过串联两个漏洞实现：第一个是在特定条件下重置生产控制台管理员密码的能力，第二个是连接功能中一个简单的认证后远程命令执行，用户输入被直接拼接至 ssh 系统命令。

依赖要求

该漏洞利用脚本所需的第三方 Python 依赖可通过以下任一命令安装：

# pip - universal
pip3 install Pillow pytesseract requests beautifulsoup4

# pacman - Arch Linux
pacman -S python-pillow python-pytesseract python-requests python-beautifulsoup4

使用方法

编写了一个漏洞利用脚本，用于处理以下几种场景：

• 通过串联两个漏洞（密码重置和认证后命令执行）执行预认证远程命令执行
• 仅执行密码重置
• 仅执行认证后的命令执行
• 检测部署路径

Usage:
  Examples:

  Pre-Auth RCE (password reset + RCE)
    python exploit.py -u http://example.org/scriptcase -c "command"
  Password reset only (no auth)
    python exploit.py -u http://example.org/scriptcase
  RCE only (need account)
    python exploit.py -u http://example.org/scriptcase -c "command" -p 'Password123*'
  Detect deployment path
    python exploit.py -u http://example.org/ -d


Options:
  -h, --help            show this help message and exit
  -u BASE_URL, --base-url=BASE_URL
  -c COMMAND, --command=COMMAND
  -p PASSWORD, --password=PASSWORD
  -d, --detect

受影响版本

Production Environment 模块的 1.0.003-build-2 版本受影响。该版本模块包含在 ScriptCase 9.12.006 (23) 中。更早的版本也很可能存在漏洞。

参考链接

https://www.synacktiv.com/advisories/scriptcase-pre-authenticated-remote-command-execution