CVE-2026-27179

总结

MajorDoMo（又称 Major Domestic Module）在 commands 模块中存在一个未认证的 SQL 注入漏洞。commands_search.inc.php 文件直接将 $_GET['parent'] 参数插入到多个 SQL 查询中，且未进行任何清理或使用参数化查询。commands 模块可通过 /objects/?module=commands 端点无需认证即可加载，该端点按名称包含任意模块并调用其 usual() 方法。利用 UNION SELECT SLEEP() 语法可进行基于时间的盲注 SQL 注入。由于 MajorDoMo 将管理员密码以未加盐的 MD5 哈希形式存储在 users 表中，成功利用该漏洞可提取凭据，进而访问管理面板。

• MajorDoMo-CVE-2026-27179PoC

  概念验证与扫描器，针对 CVE-2026-27179，在受控环境中演示漏洞行为，用于学术研究与防御性验证。