CVE-2025-15154PbootCMS是一款开源的PHP内容管理系统，广泛应用于企业网站、政府网站和各类WEB应用平台。该漏洞存在于PbootCMS 3.2.12及之前版本中，由于系统错误地信任了HTTP请求头中的X-Forwarded-For字段来获取用户IP地址，导致攻击者可以通过伪造该请求头来伪造客户端的真实IP地址。这一安全缺陷可能被恶意利用于绕过基于IP的访问控制机制、IP黑名单限制、登录尝试次数限制、IP地理位置限制等功能，同时也可能影响日志记录的准确性和法证分析的可靠性。攻击者无需任何认证即可远程发起攻击，且该漏洞已被公开披露并存在实际利用案例，对使用该CMS的系统构成中等程度的安全威胁。
该漏洞的核心问题在于PbootCMS的core/function/handle.php文件中的get_user_ip函数错误地使用了HTTP请求头中的X-Forwarded-For字段来确定客户端的真实IP地址。X-Forwarded-For头字段通常由代理服务器或负载均衡器设置，用于传递原始客户端IP，但其值可以被客户端直接控制。攻击者只需在HTTP请求中添加或修改X-Forwarded-For头，即可伪造任意IP地址。例如，攻击者可以通过Burp Suite等工具在请求中添加X-Forwarded-For: 127.0.0.1来伪造本地访问，或者绕过基于IP的访问控制。由于PbootCMS在多个安全检查和日志功能中依赖get_user_ip函数获取的IP地址，该漏洞的影响范围较广，可能导致认证绕过、恶意行为追踪失效、地理位置限制失效等多种安全问题。