CVE-2025-60655 — CVE-2025-60655的概念验证：通过绕过客户端JavaScript验证实现无限制文件上传导致的远程代码执行，从而在服务器上执行任意PHP脚本。 | Kitploit

CVE-2025-60655 - 通过无限制上传实现远程代码执行 (RCE)


研究人员	DotAdrien
严重性	9.8 (CRITICAL) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
软件	Script Pag

描述

图像上传系统中存在一个严重漏洞，可导致远程代码执行 (RCE)。该应用仅依赖客户端 JavaScript 来验证文件类型。通过绕过这些 JS 检查，攻击者可以上传恶意的 PHP 脚本。结合 SQL 注入获取文件路径，攻击者可以在服务器上执行任意代码。