CVE-2024-46256 与 CVE-2024-46257 – PoC 模拟

概述

本仓库包含一个逐步、以截图辅助的概念验证（PoC），模拟 Nginx Proxy Manager 中的两个漏洞，这些漏洞可实现 OS 命令注入，进而在身份验证后实现远程代码执行（RCE）。

• 受影响产品：Nginx Proxy Manager
• 受影响版本：v2.11.3
• 影响：认证后的 RCE（在 PoC 中观察到以 root 权限执行）

内容

• POC.md：详细的分析与利用步骤记录，包括 payload 和观察结果。
• static/：POC.md 中按出现顺序引用的截图。

使用方法

1. 打开 POC.md 以跟随模拟叙述。
2. 每个部分引用 static/ 中的图片，以说明设置、代码审查、利用和结果。

注意事项与免责声明

• 本 PoC 仅用于教育和防御性安全研究。
• 请勿用于您不拥有或未经明确授权测试的系统。
• 始终更新至已修复版本，并遵循最小权限原则。

参考资料

• Nginx Proxy Manager 仓库：https://github.com/NginxProxyManager/nginx-proxy-manager
• CVE-2024-46256
• CVE-2024-46257