安全研究

CVE-2025-30406 CentreStack 反序列化 RCE:硬编码 Machine Key 的 ASP.NET ViewState 利用

#漏洞分析#代码审计#Web安全
CVE-2025-30406 CentreStack 反序列化 RCE:硬编码 Machine Key 的 ASP.NET ViewState 利用

CentreStack 把 ASP.NET 的 MachineKey(用于 ViewState 签名的 validation key)硬编码到产品配置中——攻击者只要从产品源码或二进制中提取这个 key,用 ysoserial 构造恶意 ViewState 就能触发 ASP.NET 端的反序列化执行任意命令,整个攻击链无需任何认证。

Unlock to view this content.