Description
PagerMaid-Pyro 是一个开源的 Telegram 人形自走 Bot 方案。当PagerMaid-Pyro未设置 WEB_SECRET_KEY 的情况下存在命令注入漏洞，允许远程攻击者通过未验证的HTTP请求执行任意命令。攻击者可通过该漏洞在服务器端任意执行代码，写入后门，获取服务器权限，进而控制整个web服务器。
PagerMaid-Pyro /pagermaid/api/run_sh 命令执行漏洞
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://github.com/eeeeeeeeee-code/POC/blob/main/wpoc/PagerMaid-Pyro%E5%90%8E%E5%8F%B0%E7%AE%A1%E7%90%86%E7%B3%BB%E7%BB%9F/PagerMaid-Pyro%E5%90%8E%E5%8F%B0%E7%AE%A1%E7%90%86%E7%B3%BB%E7%BB%9Frun_sh%E6%8E%A5%E5%8F%A3%E5%AD%98%E5%9C%A8%E6%9C%AA%E6%8E%88%E6%9D%83%E5%91%BD%E4%BB%A4%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E.md
https://zhuanlan.zhihu.com/p/1932214870562047555
https://www.gm7.org/archives/32778