🚨 CVE-2026-42569 - phpVMS 未认证数据库清空

phpVMS 中的未认证数据库清空 / 破坏性导入

📌 概述

CVE-2026-42569 是 phpVMS（虚拟航空公司管理系统）中的一个严重漏洞，允许未认证攻击者访问遗留的导入端点。

这些端点本应受到限制，但在 ≤ 7.0.5 版本中仍然可访问，可能允许攻击者触发大规模删除或数据库清空操作。

🛠 受影响版本

⚠️ 影响

• 未认证访问
• 批量删除航班、用户、航班计划及其他关键数据
• 可能导致数据库被完全清空（TRUNCATE / DELETE 操作）
• 虚拟航空公司系统被完全攻陷

🧪 PoC 用法

python3 CVE-2026-42569.py http://target.com

示例输出（成功）：

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ 缓解措施

1. 立即更新到 phpVMS 7.0.6 或更高版本。
2. 移除或限制对 /importer 和 /import 端点的访问。
3. 在 Web 服务器（Nginx/Apache）中阻止对遗留导入路由的访问。
4. 定期备份数据库。

🔧 快速临时修复（Nginx）

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ 免责声明

本仓库仅用于教育和授权安全测试。
作者对因使用本工具造成的任何滥用或损害概不负责。
未经授权的利用属于违法行为。