CVE-2026-39387 — BoidCMS 认证文件上传至模板注入 RCE

描述

BoidCMS <= 2.1.2 允许经过认证的攻击者通过组合两个弱点实现远程代码执行（RCE）：

1. 无限制文件上传 — 媒体上传端点接受具有图像 MIME 类型（例如 image/gif）的文件，而不验证实际文件内容，从而允许将嵌入在 GIF 文件中的 PHP 代码存储在服务器上。
2. 任意模板路径 — 页面创建端点接受用户可控的 tpl 参数，该参数在解析时相对于主题目录且未经净化，从而可利用路径遍历（例如 ../../media/shell.gif）将页面的模板指向已上传的文件。

当构造的页面被渲染时，PHP 解释器会执行嵌入的载荷。

受影响软件

先决条件

• 拥有 BoidCMS 管理员账户的有效凭据。

使用方法

python3 CVE-2026-39387.py -u <目标URL> -l <用户名> -p <密码>

参数

示例

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

漏洞利用完成后，将提供一个交互式 shell 提示符（cmd >>）用于在远程主机上执行命令。

漏洞利用流程

1. 登录          →  POST /admin （带 CSRF token）
2. 上传 shell   →  POST /admin?page=media  （包含 PHP 载荷的 shell.gif）
3. 创建页面    →  POST /admin?page=create （tpl=../../media/shell.gif）
4. 执行 shell  →  GET /<permalink>?cmd=<command>

依赖项

pip install requests

免责声明

此漏洞利用仅用于教育目的和授权的安全测试。未经授权对您不拥有或没有明确许可测试的系统使用，属于违法行为且不道德。

参考

• NVD — CVE-2026-39387
• BoidCMS