Разработчик запустил свой код на сервере, имея лишь возможность изменения содержимого комментария в Python-скрипте
habr.comУчастник соревнования по информационной безопасности UIUCTF 2025 в техническом блоге подробно рассказал, что ему удалось успешно выполнить задание, требующее добиться исполнения стороннего кода на сервере, имея лишь возможность изменения содержимого текста комментария в коде Python-скрипта.
По информации OpenNET, в рамах этой задачи можно было отправить сетевой запрос к Python-скрипту, который создавал новый Python-скрипт cо случайными именем, добавлял поступившие от пользователя данные в текст комментария, вырезав символы "\n" и "\r", и запускал этот скрипт командой "python3 имя.py".
Вышел кроссплатформенный инструмент с открытым исходным кодом для создания скриншотов Flameshot 13.0
