Go, ExifTool! Как я получил RCE на сервере через инъекцию аргументов ExifTool

Go, ExifTool! Как я получил RCE на сервере через инъекцию аргументов ExifTool
05:12, августа 16, 2025 Для подписчиковВ этой статье я расскажу, как нашел интересную уязвимость во время bug bounty. Случай распространенный: недостаточное экранирование входных параметров. Началось все с того, что я подметил ошибку 500 при генерации PDF на сайте.

Я заинтересовался проблемой, и постепенно она привела меня к RCE. Давай разберем всю атаку по шагам.
Источник: xakep.ru
 
 

Поделиться новостью в Facebook Поделиться новостью в Twittere Поделиться новостью в VK Поделиться новостью в Pinterest Поделиться новостью в Reddit

Несколько весомых аргументов, чтобы начать ходить с рюкзаком каждый день

Несколько весомых аргументов, чтобы начать ходить с рюкзаком каждый день Ракинг — новое веяние в поддержании здорового образа жизни. Источник изображения: sputnik-kld.ru Ходить с рюкзаком — новый тренд здоровог …

Технологии, Наука 00:12, января 8, 2025 | hi-news.ru
Спрос не поддается охлаждению // ЦБ видит больше аргументов для повышения, а не снижения ставки

Спрос не поддается охлаждению // ЦБ видит больше аргументов для повышения, а не снижения ставки Банк России на последнем заседании рассматривал сценарий повышения ставки до 17% в качестве альтернативы сохранения нынешних 16%, следует из опублико …

Экономика 02:05, мая 14, 2024 | kommersant.ru
Удалённо эксплуатируемые уязвимости в сервере печати CUPS

Удалённо эксплуатируемые уязвимости в сервере печати CUPS Симоне Маргарителли (Simone Margaritelli), автор межсетевого экрана OpenSnitch и сетевого анализатора bettercap, досрочно раскрыл информацию о ранее …

Технологии, Наука 10:12, октября 2, 2024 | opennet.ru
YouTube тестирует интеграцию рекламы в видео на сервере

YouTube тестирует интеграцию рекламы в видео на сервере YouTube нашел новый способ борьбы с блокировщиками рекламы – сервис планирует интегрировать рекламу прямо в видео на стороне сервера. В течение неско …

Гаджеты 17:45, июня 13, 2024 | mobidevices.com
Мы стоим в жутких пробках. Девять аргументов против застройки Березовой рощи и четыре аргумента за

«Мы стоим в жутких пробках». Девять аргументов против застройки Березовой рощи и четыре аргумента «за» Алексей Орлов разрешил «Атомстройкомплексу» застроить скандальную Березовую рощу в Академическом. И вызвал этим постановлением недовольство жителей Е …

Основные новости 14:55, мая 13, 2024 | 66.ru
Зеленский получил письмо от Карла III через герцогиню Эдинбургскую Софи

Зеленский получил письмо от Карла III через герцогиню Эдинбургскую Софи Король Великобритании Карл III написал письмо лидеру киевского режима Владимиру Зеленскому, которое передала герцогиня Эдинбургская Софи. Об этом пиш …

Основные новости 17:10, мая 26, 2024 | regnum.ru
Уязвимость в SSH-сервере из Erlang/OTP, допускающая удалённое выполнение кода

Уязвимость в SSH-сервере из Erlang/OTP, допускающая удалённое выполнение кода В библиотеке ssh, входящей в состав инструментария Erlang/OTP, выявлена уязвимость (CVE-2025-32433), позволяющая удалённо без прохождения аутентифика …

Технологии, Наука 20:12, апреля 19, 2025 | opennet.ru
В Башкирии несовершеннолетний взял кредит через чужую SIM-карту и получил срок

В Башкирии несовершеннолетний взял кредит через чужую SIM-карту и получил срок В Дюртюлинском районе Республики Башкортостан суд вынес приговор молодому человеку, обвиняемому в мошенничестве. …

Основные новости 10:12, декабря 26, 2025 | mgazeta.com
В Корпоративном сервере 2024 от Р7-Офис появился новый модуль Проекты

В «Корпоративном сервере 2024» от «Р7-Офис» появился новый модуль «Проекты» Обновленный «Корпоративный сервер 2024» получил много важных новшеств,  самое заметное... Сообщение В «Корпоративном сервере 2024» от «Р7-Офис» …

Технологии, Наука 00:12, сентября 20, 2024 | gadgets.su
В http-сервере Apache 2.4.65 устранена проблема, ломающая работу mod_rewrite

В http-сервере Apache 2.4.65 устранена проблема, ломающая работу mod_rewrite Представлен релиз HTTP-сервера Apache 2.4.65, в котором исправлена критическая ошибка в mod_rewrite из-за которой условия, заданные через выражение " …

Интернет, Игры 00:12, июля 28, 2025 | opennet.ru
Уязвимости в Redis и Valkey, позволяющие выполнить код на сервере при наличии доступа к БД

Уязвимости в Redis и Valkey, позволяющие выполнить код на сервере при наличии доступа к БД Исследователи из компании Wiz выявили в СУБД Redis уязвимость (CVE-2025-49844), позволяющую добиться удалённого выполнения кода (RCE) на сервере. Про …

Технологии, Наука 05:12, октября 14, 2025 | opennet.ru
Британия везет оружие для ВСУ через Ла-Манш и через польский Жешув

Британия везет оружие для ВСУ через Ла-Манш и через польский Жешув Британия доставляет военную помощь ВСУ по воздуху в польский аэропорт Жешув и через пролив Ла-Манш. Об этом пишет британская The Sunday Times. …

Общество, регионы 19:15, мая 26, 2024 | eadaily.com
Иностранцы в России легализовываются не только через свадьбы, но и через вузы

Иностранцы в России легализовываются не только через свадьбы, но и через вузы В России, наконец, стали наводить порядок в сфере приема экзаменов на знание русского языка у мигрантов. В Санкт-Петербурге идут проверки в трех вуза …

Общество, регионы 20:50, мая 10, 2024 | versia.ru
О жизни женщин в мире мужчин, о любви через боль и дружбе через соперничество

О жизни женщин в мире мужчин, о любви через боль и дружбе через соперничество В рубрике «Читаем вместе» предлагаем тетралогию Элены Ферранте «Неаполитанский квартет» – сагу о характерах, судьбах, ситуациях, в которых взрослый ч …

Культура и искусство 10:12, января 28, 2025 | oskol.city
Мир через 50 лет через 50 лет // Каким 2024 год виделся из 1974-го

«Мир через 50 лет» через 50 лет // Каким 2024 год виделся из 1974-го В 1974 году американский журнал Saturday Review отмечал свое 50-летие. В юбилейном номере были опубликованы прогнозы на 50 лет вперед от 20 ученых, п …

Основные новости 04:10, мая 26, 2024 | kommersant.ru
BAW 212 получил сертификат для РФ

BAW 212 получил сертификат для РФ На рамный внедорожник BAW 212 выдали российское Одобрение типа транспортного средства. Теперь эту модель смогут импортировать в РФ целыми партиями. О …

Авто 15:12, декабря 20, 2025 | news.drom.ru
Доллар получил допинг от ФРС

Доллар получил допинг от ФРС Влияние на рынок:3ФРС вновь снизила ставки.ЕЦБ может поддержать евро.Фунт падает из-за бюджета.Банк Японии отказался спасать иену.Второе подряд сниже …

Forex 20:12, ноября 6, 2025 | fxteam.ru
Ноутбук GPD Duo получил два экрана

Ноутбук GPD Duo получил два экрана Компания GPD пополнила ассортимент ноутбуков моделью GPD Duo, которая получила два экрана. Речь идет о двух 13,3-дюймовых сенсорных OLED-панелях с не …

Гаджеты 06:10, мая 30, 2024 | megaobzor.com
Nothing Phone (2) получил Nothing OS 2.5.6: что нового

Nothing Phone (2) получил Nothing OS 2.5.6: что нового Обновление получило номер Nothing OS 2.5.6. Согласно официальному списку изменений, разработчики интегрировали в систему июньский патч безопасности G …

Гаджеты 07:35, июня 14, 2024 | gagadget.com
Nothing Phone (2a) получил Nothing OS 2.5.6: что нового

Nothing Phone (2a) получил Nothing OS 2.5.6: что нового Обновление вышла с названием Nothing OS 2.5.6 и его уже волнами начали распространять на устройство по всему мире. Проверить наличие OTA можно в наст …

Гаджеты 09:50, мая 29, 2024 | gagadget.com
SHAMAN получил премию МО РФ

SHAMAN получил премию МО РФ Певец SHAMAN (Ярослав Дронов) получил премии от Минобороны России за исполнение патриотических песен. Об этом сообщают «Аргументы и факты». Награжден …

Шоу-бизнес 02:25, мая 16, 2024 | news.rambler.ru
HTC U Ultra получил обновление

HTC U Ultra получил обновление Тайваньская компания выпустила первое обновление для HTC U Ultra, которое несет массу больших улучшений. Читать далее... 4HTC.ru - Все о HTC | Коммен …

Технологии, Наука 10:12, июля 14, 2024 | 4htc.ru
Павел Деревянко получил иск на 5 млн рублей

Павел Деревянко получил иск на 5 млн рублей ООО «РКП» обратилось в суд с иском на 5 млн рублей против актера Павла Деревянко. Об этом сообщает Telegram-канал «Звездач». …

Общество, регионы 05:12, января 17, 2025 | news.rambler.ru
Нафтогаз снова получил по хранилищам

«Нафтогаз» снова получил по хранилищам Во время ответных ударов российской армии по украинским энергообъектам 8 мая досталось и хранилищам газа. Киевский режим предупреждают в очередной ра …

Общество, регионы 16:20, мая 8, 2024 | eadaily.com
Мини-ПК Mechrevo imini Pro 820 получил 24 ГБ ОЗУ

Мини-ПК Mechrevo imini Pro 820 получил 24 ГБ ОЗУ Компания Mechrevo пополнила ассортимент компактных компьютеров моделью imini Pro 820, которая основана на 8-ядерном 16-поточном чипе AMD Ryzen 7 8845 …

Гаджеты 17:25, мая 8, 2024 | megaobzor.com
OnePlus 10 Pro получил OxygenOS 14.0.0.800: что нового

OnePlus 10 Pro получил OxygenOS 14.0.0.800: что нового Информация появилась на форуме производителя. Прошивка вышла с номером OxygenOS 14.0.0.800. Систему уже волнами распространяют на устройства в Индии …

Гаджеты 15:12, июня 28, 2024 | gagadget.com
ИИ Apple получил название AI, то есть ИИ

ИИ Apple получил название «AI», то есть «ИИ» Apple собирается представить свою новую систему искусственного интеллекта под брендом «Apple Intelligence». Если суть понятна не сразу, то искусствен …

Технологии, Наука 03:35, июня 8, 2024 | ferra.ru
Юра Борисов не получил премию Оскар

Юра Борисов не получил премию "Оскар" Российский актёр Юра Борисов не получил премию "Оскар": он был номинирован на престижную награду за роль второго плана в фильме Шона Бейкера "Анора". …

Шоу-бизнес 15:12, марта 3, 2025 | spletnik.ru
Настольный ПК Corsair One i500 получил до 192 ГБ ОЗУ

Настольный ПК Corsair One i500 получил до 192 ГБ ОЗУ Компания Corsair пополнила ассортимент настольных компьютеров моделью Corsair One i500, которая может похвастаться алюминиевым корпусом с деревянными …

Гаджеты 16:55, мая 9, 2024 | megaobzor.com
SOC К2 Кибербезопасность получил сертификат СУСИТ

SOC «К2 Кибербезопасность» получил сертификат СУСИТ Центр мониторинга кибербезопасности от «К2 Кибербезопасность» одним из первых коммерческих SOC получил сертификат... …

Интернет, Игры 01:15, мая 8, 2024 | cnews.ru
Лавров получил орден Жеребца

Лавров получил орден Жеребца Президент Буркина-Фасо Ибрагим Траоре вручил министру иностранных дел России Сергею Лаврову орден Жеребца - высшую государственную награду республики …

Политика 19:25, июня 5, 2024 | gazeta.ru
Акунин получил британскую премию

Акунин получил британскую премию Получая награду, Акунин отметил, что является автором, не имеющим права публиковаться в собственной стране. В России против писателя завели уголовное …

Основные новости 00:00, мая 17, 2024 | rbc.ru