CVE-2025-57055

总结

WonderCMS 3.5.0 在自定义模块安装功能中存在服务端请求伪造（SSRF）漏洞。已认证的管理员可以通过 pluginThemeUrl POST 参数提供恶意 URL。服务器使用 curl_exec() 获取所提供的 URL，且未进行充分验证，从而允许攻击者强制发起内部或外部 HTTP 请求。

• CVE-2025-57055漏洞利用

  # WonderCMS 3.5.0 认证远程代码执行（RCE）漏洞利用 针对 WonderCMS 3.5.0 的认证远程代码执行（RCE）漏洞利用，通过恶意主题安装实现。包含漏洞机制、PoC 以及面向安全测试与教育用途的缓解指南。