Dos vulnerabilidades críticas en el módulo de entorno de producción de ScriptCase se pueden juntar para lograr la ejecución de comandos remotos preautenticados en los servidores afectados.
Las vulnerabilidades, rastreadas como CVE-2025-47227 y CVE-2025-47228, afectan la versión 1.0.003-construcción-2 del módulo de entorno de producción incluido en ScriptCase versión 9.12.006 (23), con versiones anteriores probablemente también vulnerables.
Control de llave
1. Dos fallas severas en el entorno de producción de scriptcase en el módulo de entorno de producción permiten la adquisición completa del servidor.
2. Los atacantes no necesitan credenciales de inicio de sesión para explotar estas vulnerabilidades y sistemas de compromiso.
3. Restablecer la contraseña El bypass y la inyección de shell dan como resultado el acceso completo al sistema en tres sencillos pasos.
4.
ScriptCase es una plataforma popular de bajo código que genera aplicaciones web PHP a través de una interfaz gráfica.
El módulo de entorno de producción sirve como una consola administrativa para administrar conexiones y directorios de bases de datos, y generalmente se implementa junto con sitios web generados.
Las vulnerabilidades descubiertas por el equipo de Synactiv permiten a los atacantes comprometer servidores sin ningún requisito de autenticación.
Defecto de derivación de autenticación (CVE-2025-47227)
La primera vulnerabilidad proviene de un mecanismo de autenticación defectuoso en la funcionalidad de restablecimiento de contraseña del entorno de producción.
El problema radica en la función ChangePass () dentro de NMPageProdlogin.class.php, que solo requiere una dirección de correo electrónico y una nueva contraseña sin verificar la contraseña actual.
La vulnerabilidad explota un problema de tiempo donde la variable de sesión nm_session.prod_v8.login.is_page se establece después del procesamiento inicial de solicitud de AJAX. Los atacantes pueden evitar esta protección haciendo dos solicitudes secuenciales con la misma cookie PhpSessid.
El exploit implica tres pasos: primero, una solicitud GET para registrarlo.php establece la variable de sesión en verdadero; Segundo, una solicitud para SecureImage.php obtiene un desafío Captcha; Finalmente, una solicitud de publicación con la acción nm_action = Change_Pass restablece correctamente la contraseña del administrador.
La solicitud de publicación utiliza parámetros que incluyen (correo electrónico protegido), pass_new = synacktiv6, pass_conf = synacktiv6 y el valor de captcha resuelto.
Esto evita por completo la autenticación y otorga acceso administrativo a la consola de entorno de producción.
Fecha de inyección de concha (CVE-2025-47228)
La segunda vulnerabilidad existe en la función de configuración SSH para conexiones de bases de datos.
El archivo NMPAGeadMinSySallCreatewizard.class.php contiene una vulnerabilidad de inyección de shell en la función GetListDatabasenamEmEmysql (), donde la entrada del usuario se concatena directamente en los comandos SSH sin la desinfectación adecuada.
El código vulnerable construye comandos SSH utilizando el formato SSH -FNG -L $ LOCALPORT: $ SERVER: $ PORT $ SSHUSER@$ SSHHOST con variables controladas por el usuario.
El parámetro ssh_localportforwarding es particularmente explotable, como se demuestra por inyección; toque ghijkl;# que ejecuta con éxito comandos arbitrarios a través de shell_exec ().
Los atacantes pueden explotar esto accediendo a admin_sys_allconections_test.php y enviando cargas útiles maliciosas a través del formulario de configuración SSH.
La vulnerabilidad permite la ejecución de comandos del sistema arbitrarios con privilegios de servidor web, típicamente data www.
Los investigadores desarrollado Un script de explotación automatizado que encaja ambas vulnerabilidades, incluye capacidades de resolución de captcha utilizando técnicas de OCR y puede detectar rutas de implementación de scriptcase automáticamente.
CVESDESDESCONTRITARILLO PRODUCTOS DE AFECTADO CVSS 3.1 SCORECVE-2025-47227 El restablecimiento de contraseña de Administrator (Autenticación Bypass) Módulo de entorno de producción V1.0.003-Build-2 (scriptcase v9.12.006-23), versiones anteriores de versiones anteriores 7.5 (alta) CVE-2025-47228 SHANT (Ejecución de comandos remotos)
Módulo de entorno de producción V1.0.003-Build-2 (scriptcase v9.12.006-23), probables versiones anteriores6.7 (medio)
ScriptCase no ha lanzado parches oficiales para CVE-2025-47227 (bypass de autenticación) o CVE-2025-47228 (inyección de shell) a partir de la fecha de divulgación pública.
La protección inmediata más efectiva implica restringir el acceso a la extensión del entorno de producción de scriptcase a nivel de perímetro de red.
Para la vulnerabilidad de ejecución de comandos remotos, el bloqueo de punto final adicional debe incluir /prod/lib/php/devel/iface/admin_sys_allconections_test.php y /prod/lib/php/devel/iface/admin_sys_allconections_create_wizard.php.
Estas restricciones neutralizan efectivamente ambos vectores de ataque mientras mantienen la funcionalidad del entorno de desarrollo de scriptcase primario si se implementan por separado.
Investigue el comportamiento de malware en vivo, rastree cada paso de un ataque y tome decisiones de seguridad más rápidas y inteligentes -> Prueba cualquiera.
