CVE-2026-39387

总结

BoidCMS 是一个基于 PHP 的开源扁平文件 CMS，用于构建简单的网站和博客，使用 JSON 作为其数据库。2.1.3 之前的版本存在一个严重的本地文件包含（LFI）漏洞，可通过 `tpl` 参数触发，进而导致远程代码执行（RCE）。该应用在创建和更新页面时未能对 `tpl`（模板）参数进行净化处理。该参数被直接传递给 `require_once()` 语句，且未进行路径验证。经过身份验证的管理员可利用此漏洞，向 `tpl` 值中注入路径遍历序列（`../`），从而逃逸预期的主题目录并包含任意文件——具体而言，是服务器 `media/` 目录中的文件。当与文件上传功能结合使用时，这将形成完整的 RCE 攻击链：攻击者可先上传一个嵌入了 PHP 代码的文件（例如伪装成图片数据），然后利用路径遍历漏洞通过 `require_once()` 包含该文件，从而以 Web 服务器权限执行嵌入的代码。此问题已在 2.1.3 版本中修复。

来源

• CVE-2026-39387漏洞利用

  BoidCMS <= 2.1.2 RCE 漏洞利用