CVE-2026-25924

总结

Kanboard 是一款专注于看板方法论的项目管理软件。在 1.2.50 之前，Kanboard 中存在一个安全控制绕过漏洞，允许已认证的管理员实现完整的远程代码执行（RCE）。尽管当 `PLUGIN_INSTALLER` 配置设置为 `false` 时，应用程序会正确隐藏插件安装界面，但底层后端端点未能验证此安全设置。攻击者可利用此疏忽强制服务器下载并安装恶意插件，从而导致任意代码执行。此漏洞已在 1.2.50 中修复。

• CVE-2026-25924PoC

  CVE-2026-25924 的概念验证漏洞利用程序，演示了 Kanboard 中因插件安装缺少访问控制检查而导致的远程代码执行漏洞。