[CVE-2025-50754] 存储型XSS导致PHP CMS平台远程代码执行

摘要

某基于PHP的CMS平台（版本5）的“报告”功能中存在存储型跨站脚本（XSS）漏洞。当管理员查看用户提交的报告时，恶意JavaScript会在管理面板上下文中执行。这使得攻击者能够劫持管理员会话，并利用内置的模板编辑器上传PHP Web Shell，最终在服务器上实现完全远程代码执行（RCE）。

技术细节

• 漏洞类型： 存储型跨站脚本（XSS）
• 受影响产品： CMS平台 v5
• 攻击类型： 远程
• 影响：
  • 远程代码执行（RCE）：是
  • 信息泄露：是

攻击向量（抽象描述）

攻击者通过公开的“报告”表单提交一个恶意的JavaScript载荷。当登录的管理员在后端查看此内容时，脚本会在管理员浏览器中执行，并窃取会话Cookie。

获取会话后，攻击者可访问管理界面，特别是模板编辑器。利用此功能，攻击者将PHP代码注入.tpl文件以建立持久性Web Shell，并在服务器上执行任意命令。

注意： 为防止滥用，本文未包含具体载荷或代码片段。强烈建议各类组织实施输入验证、会话强化以及对管理功能的访问控制。

利用步骤（高级概述）

1. 攻击者提交一份包含恶意脚本的特制报告。
2. 管理员通过管理后台打开该报告。
3. 脚本执行，管理会话Cookie被捕获。
4. 攻击者使用该会话登录管理面板。
5. 攻击者通过模板编辑器将PHP代码注入模板文件。
6. 通过上传的Shell实现远程代码执行。

影响

• 完全接管管理员权限
• 在服务器上执行任意命令
• 数据泄露或篡改
• 通过上传的后门实现持久化

发现者

• Furkan Mehmet Yıldız
• Emrullah Baha Yılmaz

CVE信息

• CVE ID： CVE-2025-50754
• 状态： 已保留（公开公告待发布）

概念验证（PoC）

通过模板编辑器上传自定义Web Shell（s.php）并执行操作系统级命令，已验证成功利用。以下经过脱敏处理的图片展示了通过Web Shell执行id； ls -la命令后的输出：

这表明攻击者能够在Web服务器用户权限下执行命令并访问文件系统内容。

uid=1003(t******_usr) gid=1006(t******_usr) groups=1006(t******_usr),995(fastmail),1002(fastsecure)
...
-rw-r--r-- 1 t******_usr t******_usr 6481 Nov 27 2024 rss.php
-rw-r--r-- 1 t******_usr t******_usr 64 Jul 31 12:24 s.php

参考

• CVE记录： https://cve.org/CVERecord?id=CVE-2025-50754

---

临时缓解措施

截至发布时，官方尚未提供补丁。为降低风险：

• 对所有在管理面板中渲染的用户输入进行清理和转义。
• 避免渲染不受信任的HTML或JavaScript。
• 实施严格的内容安全策略（CSP）。
• 限制对模板编辑器等敏感功能的访问。

---

由Furkan Yıldız和Baha Yılmaz报告