CVE-2025-63406CVE-2025-63406是Intermesh BV GroupOffice企业协作平台中的一个严重安全漏洞。该漏洞存在于FunctionField.php文件中的dbToApi()方法，由于该方法直接使用eval()函数处理用户输入而未进行充分的输入验证，导致远程攻击者可以在服务器上执行任意代码。GroupOffice是一款功能强大的开源企业协作软件，提供了项目管理、CRM、文档管理等功能，广泛应用于企业内部管理系统中。此漏洞影响GroupOffice v25.0.47之前的所有版本以及6.8.136之前的6.x版本。由于该漏洞的CVSS评分高达8.8，且只需要低权限用户即可利用，无需用户交互，因此对使用受影响版本GroupOffice的组织构成严重威胁。攻击者可以利用此漏洞完全控制服务器，窃取敏感数据、植入后门或进行横向移动攻击。建议所有使用受影响版本的用户立即升级到最新修复版本或采取临时缓解措施。
该漏洞的根本原因在于FunctionField.php文件中dbToApi()方法的不安全实现。该方法接收用户可控的输入参数后，直接将参数传递给PHP的eval()函数执行。eval()函数会将其字符串参数作为PHP代码执行，如果攻击者能够控制传入dbToApi()的参数字符串，就可以在服务器上执行任意PHP代码甚至系统命令。攻击者需要具有GroupOffice系统的低权限账户（如普通用户账号），通过构造特定的恶意输入发送给dbToApi()方法。例如，攻击者可以注入类似system($_GET['cmd'])的PHP代码片段，eval()函数会直接执行这段代码，从而实现远程代码执行。由于GroupOffice的Web接口直接暴露在网络上，攻击者可以通过HTTP请求远程触发此漏洞。成功利用后，攻击者可以获取服务器的最高权限，执行任意系统命令，上传恶意文件，甚至完全控制整个服务器及其所在网络环境。