CVE-2026-27180

总结

MajorDoMo（又名 Major Domestic Module）存在未认证远程代码执行漏洞，攻击者可通过更新 URL 投毒实现供应链攻击。saverestore 模块通过 /objects/?module=saverestore 端点暴露其 admin() 方法，且无需认证，原因是该方法使用了 gr('mode')（直接从 $_REQUEST 读取）而非框架的 $this->mode。攻击者可利用 auto_update_settings 模式处理器投毒系统更新 URL，随后触发 force_update 处理器以启动更新链。autoUpdateSystem() 方法会从攻击者控制的 URL 获取 Atom 订阅源（仅进行简单校验），通过 curl 下载 tarball 且禁用 TLS 验证（CURLOPT_SSL_VERIFYPEER 设置为 FALSE），使用 exec('tar xzvf ...') 解压，并通过 copyTree() 将所有解压文件复制到文档根目录。这使得攻击者仅需两个 GET 请求即可将任意 PHP 文件（包括 WebShell）部署到 Web 根目录。

• CVE-2026-27180-MajorDoMo-unauthenticated-RCE漏洞利用

  CVE-2026-27180 的概念验证漏洞利用程序，通过更新 URL 投毒在 MajorDoMo 中实现未认证远程代码执行（RCE），将 WebShell 投递至 Web 根目录。