CVE-2025-65868CVE-2025-65868是eyoucms v1.7.1版本中存在的一个XML外部实体（XXE）注入漏洞。该漏洞允许未经认证的远程攻击者通过向目标服务器发送精心构造的POST请求来利用XML解析器的缺陷。攻击者可以在XML payload中引入外部实体引用，当服务器解析这些XML数据时，会尝试加载外部资源，可能导致拒绝服务（DoS）状况。攻击者利用此漏洞可以消耗服务器的内存和CPU资源，使其无法正常提供服务。该漏洞的CVSS评分为7.5，属于高危级别，攻击向量为网络，攻击复杂度低，无需认证和用户交互即可实施攻击。由于eyoucms是一款广泛使用的内容管理系统，该漏洞可能影响大量使用该系统的网站。攻击者无需特殊的权限或技术能力，只需能够发送HTTP请求即可触发该漏洞，这使得该漏洞具有较高的实际威胁性。
eyoucms v1.7.1在处理用户提交的POST请求时，未对XML格式的请求体进行充分的输入验证和安全过滤。系统直接使用PHP的simplexml_load_string()或类似的XML解析函数处理用户输入，而没有禁用外部实体加载功能。攻击者可以在XML payload中定义外部实体引用，例如：<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]><foo>&xxe;</foo>。当服务器解析这个恶意XML时，会尝试加载外部资源。在拒绝服务攻击场景中，攻击者可以引用一个不存在的外部资源或使用递归实体定义来耗尽服务器资源。例如，使用<!ENTITY xxe SYSTEM "http://attacker-controlled-site.com/large-file">可以导致服务器尝试加载大文件，或者使用递归实体来创建大量内存消耗。修复该漏洞需要在XML解析前设置libxml_disable_entity_loader(true)或在解析选项中禁用外部实体加载。