Web安全 on 思安录 | Thinking's Security Notes

xAI grok-build 开源次日 0day 挖掘（四）：ptyctl 测试服务器零认证 CORS 与跨域 RCE

Thinking — Mon, 20 Jul 2026 00:00:00 +0000

CVE-2025-53770 SharePoint WebPart 注入反序列化 RCE：补丁日之前的野利用

Thinking — Tue, 15 Jul 2025 00:00:00 +0000

SharePoint 把 WebPart 渲染视为『可信内部』，但 ToolPane.aspx 端点接受未认证 POST——攻击者构造恶意 WebPart payload 触发 .NET 反序列化 gadget chain，无需认证就在 SharePoint Server 上执行任意命令，且被微软确认已在野利用。

CVE-2025-44148 MailEnable Webmail 反射 XSS：failure.aspx 未净化的 state 参数

Thinking — Sun, 15 Jun 2025 00:00:00 +0000

MailEnable Webmail 的 failure.aspx 在显示错误页时把 state 参数原封不动写入 HTML——攻击者构造 state=<script>...</script> 的 URL，受害者点击后 MailEnable 不做 sanitize 直接回显，触发反射型 XSS，盗取 session、cookies、发起钓鱼。

CVE-2025-55184 React Server Components 无限循环 DoS：反序列化时一行 payload 锁死 CPU

Thinking — Thu, 15 May 2025 00:00:00 +0000

React Server Components 把『客户端发送的请求参数』交给反序列化解析器处理——攻击者发送一个特殊构造的 payload，触发 RSC 解析器在反序列化阶段进入无限循环，CPU 立刻被打满到 100%，整个服务进入不可用状态。

Explore CMS v1.1 反射 XSS：当社区型 CMS 的 UserID 字段成为攻击入口

Thinking — Thu, 15 May 2025 00:00:00 +0000

Explore CMS v1.1 的 user/login.php 与 admin/login.php 端点对 UserID 字段完全不做 sanitize / validation——攻击者构造最简单的 <script>alert(1)</script> payload 就能触发反射型 XSS，盗取 session、cookies、邮箱内容，对社区型 CMS 用户尤其危险。

CVE-2025-32395 Vite Dev Server 路径遍历：URL 中 # 字符绕过的 server.fs.deny

Thinking — Tue, 15 Apr 2025 00:00:00 +0000

Vite Dev Server 的 server.fs.deny 中间件用正则匹配 URL 拒绝访问项目目录外的文件——但 # 字符在 RFC 9112/9113 标准中只能作为 URL fragment，而 Node.js 默认允许 # 出现在 path 中。攻击者利用这个差异，构造 /src/safe.txt#/../../../unsafe.txt，让 fs.deny 看到的是 /src/safe.txt（在白名单内），但文件系统实际访问 unsafe.txt（在白名单外）。

CVE-2025-4123 Grafana 全读 SSRF + 账号接管：Open Redirect + CSPT + Client-side Traversal 三段链路

Thinking — Tue, 15 Apr 2025 00:00:00 +0000

Grafana 的 staticHandler 在目录结尾缺 / 时返回 302 重定向——攻击者用 \attacker.com/? 让 FileSystem.Open 解析为合法目录，但 http.Redirect 把它当作外部 URL 输出，结合 render 端点与 plugin-app explore 客户端路径遍历，三段链路拼成 Account Takeover。

CVE-2025-30406 CentreStack 反序列化 RCE：硬编码 Machine Key 的 ASP.NET ViewState 利用

Thinking — Tue, 01 Apr 2025 00:00:00 +0000

CentreStack 把 ASP.NET 的 MachineKey（用于 ViewState 签名的 validation key）硬编码到产品配置中——攻击者只要从产品源码或二进制中提取这个 key，用 ysoserial 构造恶意 ViewState 就能触发 ASP.NET 端的反序列化执行任意命令，整个攻击链无需任何认证。

CVE-2025-29927 Next.js 认证绕过：x-middleware-subrequest 头部递归深度的绕过

Thinking — Sat, 22 Mar 2025 00:00:00 +0000

Next.js 用 x-middleware-subrequest 头部 + 递归深度（MAX_RECURSION_DEPTH=5）来判断『当前请求是不是合法的子请求』——攻击者只要在头部塞入 5 次重复的 middleware 路径，就能让 Next.js 误判为内部递归调用，从而完全跳过中间件的认证、授权、CSP 检查。

CVE-2025-24813 Apache Tomcat 路径等价 + 持久会话 RCE：partial PUT 与 default servlet 拼合

Thinking — Sat, 15 Mar 2025 00:00:00 +0000

Tomcat 把 default servlet 当作『静态文件服务』来对外提供读写能力——攻击者通过 Content-Range 头部的 partial PUT 写入一段 JSP 到 Tomcat 的 work 目录，再用 GET 请求让 default servlet 把它作为 JSP 编译执行，整条 RCE 链在公网完成。

CVE-2025-27415 Nuxt.js Cache Poisoning 拒绝服务：路由正则的换行符绕过

Thinking — Sat, 15 Mar 2025 00:00:00 +0000

Nuxt.js 的 Nitro 路由正则把换行符 \n 当作合法字符——攻击者在 URL 中塞入大量换行符 + 空白，绕过路由正则的 key 提取，让 Nitro 把空 key 写入缓存；重复请求后缓存无限增长，耗尽服务器内存实现拒绝服务。

假 CAPTCHA 网站劫持剪贴板投递信息窃取器：ClickFix 攻击手法分析

Thinking — Tue, 11 Mar 2025 00:00:00 +0000

导读：当"证明你不是机器人"本身成了攻击入口，你每一次对 CAPTCHA 的习惯性顺从，都可能是一次自感染。Malwarebytes 在 2025 年 3 月披露的这套 ClickFix 攻击手法，把"用户自己感染自己"这件事做到了规模化复制。

CVE-2024-12877 GiveWP PHP 对象注入：当 unserialize 碰上 magic methods

Thinking — Sat, 15 Feb 2025 00:00:00 +0000

GiveWP 在用户可控字段上调用 unserialize()，而 PHP 在反序列化时自动触发 magic methods——攻击者只要构造一个含特定 magic method 的对象 payload，就能在反序列化瞬间让 PHP 自己执行攻击者预设的逻辑，绕过早期只识别 array/object 类型的正则白名单。

CVE-2024-12877 GiveWP PHP 对象注入：unserialize 与正则的徒劳对抗

Thinking — Wed, 15 Jan 2025 00:00:00 +0000

GiveWP 在用户输入上调用 unserialize()，并用一层正则做『序列化格式校验』——但只要底层是 unserialize，正则只是装饰品。攻击者绕过正则后，__wakeup() 等 magic method 直接接管执行流，从注入走到 RCE。

CVE-2024-10793 WP Activity Log 存储型 XSS 到 RCE：日志页里的完整链条

Thinking — Wed, 25 Dec 2024 00:00:00 +0000

WP Activity Log 把用户行为原样写进日志页，没有任何 sanitize——存储型 XSS 触发后，攻击者拿到管理员 nonce，反手上传一个 PHP webshell，整个链条从一条日志走到 RCE。

CVE-2024-10793 WP Activity Log 存储 XSS 到 RCE：插件日志回显面的未净化

Thinking — Thu, 19 Dec 2024 00:00:00 +0000

WP Activity Log 把管理员面板里的『活动日志』当可信渲染区，却没有给写入路径做 sanitize——攻击者通过 admin-ajax 注入一段 HTML，管理员打开日志面板就被执行；结合 nonce 凭据偷取 + 插件上传，一条从匿名 POST 到 RCE 的链路被打通。

lunary-ai 三个 npm 漏洞串联：SAML XSS、IDOR 与权限升级的同一套信任链

Thinking — Thu, 19 Dec 2024 00:00:00 +0000

同一个 npm 包 lunary-ai/lunary（1.6.7 之前）一口气爆了三个 CVE——SAML 元数据 Stored XSS、PATCH score 端点的 IDOR、PATCH model 端点的权限升级。三个漏洞的根因都指向**「认证 vs 授权」这条被反复忽视的边界**。

CVE-2024-52875 Kerio Control CRLF 注入到 1-click RCE：防火墙的静默沦陷

Thinking — Mon, 16 Dec 2024 00:00:00 +0000

Kerio Control 防火墙的 Web 管理接口未过滤 CRLF 字符，攻击者构造恶意链接诱导管理员点击，1-click 就能拿到防火墙的 shell。

CVE-2024-46982 Next.js 缓存投毒：非动态 SSR 页面的静默劫持

Thinking — Fri, 15 Nov 2024 00:00:00 +0000

Next.js 非动态 SSR 页面的缓存层未隔离用户特定数据，攻击者通过恶意 Header 投毒缓存，后续所有用户拿到被投毒的响应。

CVE-2024-9264 Grafana DuckDB SQLi 到 RCE：认证后的数据库穿透

Thinking — Tue, 15 Oct 2024 00:00:00 +0000

Grafana 11.0.0-11.2.1 的 SQL 查询接口允许认证用户注入 DuckDB 命令，读取任意文件，特定配置下直接 RCE。

CVE-2024-5420 SEH UTN Server XSS：USB 设备管理接口的跨站脚本攻击

Thinking — Thu, 15 Aug 2024 00:00:00 +0000

SEH UTN Server 的 USB 设备管理 Web 界面未过滤用户输入，攻击者通过构造恶意 URL 注入 JavaScript 窃取管理员会话。

CVE-2024-27956 WP Automatic SQL 注入：从 9.9 分插件漏洞到 admin 账户接管

Thinking — Mon, 15 Jul 2024 00:00:00 +0000

WordPress valvePress/Automatic 插件未对 auth 参数做 %0a / null byte 过滤，攻击者绕过身份验证后通过 q 参数跑 SQL 注入，最终创建 eviladmin 管理员账户接管整站。

CVE-2024-38475 Apache HTTPD mod_rewrite 路径穿越：从 BlackHat 2024 到 RCE

Thinking — Mon, 15 Jul 2024 00:00:00 +0000

Apache HTTPD mod_rewrite 的路径匹配逻辑缺陷，CVSS 9.1，BlackHat 2024 上披露，攻击者构造特殊 URL 绕过 rewrite 规则访问受限文件。

CVE-2024-40725 Apache HTTPD HTTP 请求走私：Content-Length 处理不一致

Thinking — Mon, 15 Jul 2024 00:00:00 +0000

Apache HTTPD 在处理含特殊字符的 Content-Length 时与代理/后端服务边界解析不一致，攻击者构造特殊请求实现 HTTP 请求走私。

CVE-2024-4956 Sonatype Nexus OSS 路径穿越：从制品库到任意文件读取

Thinking — Mon, 15 Jul 2024 00:00:00 +0000

Sonatype Nexus Repository OSS 的路径限制未做充分过滤，攻击者构造特殊 URL 就能读取服务器上的任意文件，无需认证。

CVE-2024-38094 Microsoft SharePoint RCE:未授权远程代码执行

Thinking — Tue, 09 Jul 2024 00:00:00 +0000

Microsoft SharePoint Server 的远程代码执行漏洞，CVSS 6.3，攻击者通过构造特殊请求绕过身份验证执行任意代码，影响大量企业 SharePoint 部署。

CVE-2023-7137 Client Details System 1.0 SQL 注入：uemail 参数的经典 boolean-based 漏洞

Thinking — Thu, 04 Jul 2024 00:00:00 +0000

Client Details System 1.0 登录端点把 uemail 参数直接拼到 SQL 查询，攻击者用经典 OR 1=1 绕过登录，再丢给 SQLmap 一键导出整个数据库。

CVE-2024-7954 Prote_plume 插件 RCE：从开源安全工具到未授权远程代码执行

Thinking — Mon, 20 May 2024 00:00:00 +0000

Prote_plume 安全扫描插件自身存在未授权 RCE，CVSS 9.8，攻击者通过简单请求就能在服务器上执行任意命令。

CVE-2023-50164 Apache Struts 文件上传路径 RCE：经典框架的经典漏洞

Thinking — Wed, 15 May 2024 00:00:00 +0000

Apache Struts 的文件上传参数处理逻辑允许路径操纵，攻击者上传文件到任意位置并通过 OGNL 注入触发 RCE。

CVE-2023-46943 JWT Token 验证步骤绕过：从签名校验失效到身份冒充

Thinking — Wed, 01 May 2024 00:00:00 +0000

JWT 库默认不强制签名校验，开发者必须显式开启，攻击者把 alg 改成 none 或替换密钥直接绕过身份验证。

CVE-2024-4439 WordPress Core 未授权存储型 XSS:Block Editor 渲染链路

Thinking — Tue, 09 Apr 2024 00:00:00 +0000

WordPress Core 6.5 之前版本的 Block Editor 在渲染用户内容时未充分过滤，攻击者构造的文章能触发未授权存储型 XSS。

CVE-2024-23724 Ghost CMS SVG 存储型 XSS：从头像上传到 Owner 权限接管

Thinking — Fri, 22 Mar 2024 00:00:00 +0000

Ghost CMS 允许用户上传 SVG 作为头像但没有 sanitize，攻击者用含 JS 的 SVG 偷 Owner 的会话，触发 XSS 后能把自己提权为 Admin 再升 Owner。

CVE-2024-29291 Laravel 数据库凭据泄露：PDOException 日志写错

Thinking — Fri, 22 Mar 2024 00:00:00 +0000

Laravel 在 PDO 异常时把数据库连接信息（含密码）完整 dump 到日志，攻击者拿到日志文件就能用里面的 DSN / user / pass 直连数据库。

CVE-2023-7028 GitLab 账户接管：密码重置邮件双收漏洞剖析

Thinking — Thu, 14 Mar 2024 00:00:00 +0000

GitLab 密码重置流程允许一次请求发送邮件到多个邮箱，攻击者把目标账户的重置链接发到自己的邮箱，从而接管任意账户。

CVE-2023-6553 WordPress Backup Migration 未授权 RCE：从 9.8 分插件漏洞看 PHP filter chain

Thinking — Thu, 29 Feb 2024 00:00:00 +0000

WordPress Backup Migration 插件的 includes/backup-heart.php 端点对用户输入处理不当，攻击者用 PHP filter chain 写 shell 到磁盘，未授权就能拿到服务器。

CVE-2023-4357 Chrome XEE on WebBrowsers：从 XML 外部实体到任意文件读取

Thinking — Mon, 15 Jan 2024 00:00:00 +0000

Chrome 浏览器的 XML 解析器在处理用户可控的 XML 文档时未禁用外部实体加载，攻击者通过构造恶意 XML 读取本地文件。

CVE-2024-22144 WordPress GOTMLS Plugin 代码注入：20 万安装量的字符串拼接漏洞

Thinking — Mon, 15 Jan 2024 00:00:00 +0000

WordPress GOTMLS 插件（20 万+ 活跃安装）未对用户输入做参数化，攻击者通过简单字符串拼接就能在服务器上跑任意 PHP。

CVE-2024-34351 Next.js SSRF：Server Actions 与 Host 头的隐秘合谋

Thinking — Mon, 15 Jan 2024 00:00:00 +0000

Next.js 的 Server Actions 在 redirect 流程中信任了用户可控的 Host 头——一个看起来无害的内部 fetch，把内网 HTTP 服务暴露给了任意外部攻击者；中转一个 Flask，SSRF 从 ping 升级为完整读取。

CVE-2023-50164 Apache Struts 文件上传路径穿越到 RCE：经典框架的老问题

Thinking — Fri, 15 Dec 2023 00:00:00 +0000

Apache Struts 在 ActionSupport 处理文件上传时未严格校验上传路径，攻击者改一个 multipart 字段名，就能把 webshell 直接投到 Tomcat webapps 目录里——这是 Struts 在 2023 年又一次被『路径穿越到 RCE』的老戏码击中。

CVE-2023-49103 + CVE-2023-49105 ownCloud 信息泄漏 + 权限提升到 RCE 链：PHPinfo 暴露如何成为攻击者的钥匙

Thinking — Wed, 15 Nov 2023 00:00:00 +0000

ownCloud 在 /settings/phpinfo 等少数端点暴露完整 PHPinfo 页面（CVSS 10），同时 WebDAV 处理的 URL 签名在用户未配置签名密钥时默认为空字符串，让攻击者能用任意用户名伪造请求（CVSS 9.8）——两个 CVE 组合形成完整攻击链：PHPinfo 暴露拿到 ImageMagick / GraphQL 信息 → WebDAV 签名伪造伪装任意用户 → 旧版 ImageMagick 漏洞触发 RCE。

CVE-2023-43341 Evolution CMS Reflected XSS：管理面板的反射攻击面

Thinking — Fri, 15 Sep 2023 00:00:00 +0000

Evolution CMS 在管理面板的多个参数上缺乏 escape——攻击者构造的 URL 在管理员点击时直接触发 XSS，获得后台完整控制。

CVE-2023-38286 Spring Boot Admin SSTI：Thymeleaf 表达式注入到 RCE

Thinking — Tue, 22 Aug 2023 00:00:00 +0000

Spring Boot Admin 的 UI 视图层使用了 Thymeleaf——但 Thymeleaf 3.1.0 之前的视图名解析允许攻击者通过请求头注入 SpEL 表达式，模板引擎在解析视图路径时直接执行任意 Java 代码。

CVE-2023-4357 Chrome LibXSLT XEE：浏览器里被忽视的 XML 外部实体面

Thinking — Tue, 22 Aug 2023 00:00:00 +0000

Chrome 等基于 WebKit 的浏览器把 LibXSLT 当作默认 XSL 引擎，但其 document() 函数允许加载外部实体，于是 sandbox 之外的 file:// 资源被悄悄读走——这是一场围绕『一致性缝隙』的浏览器侧 XEE 复盘。

CVE-2023-25157 GeoServer SQLi：OGC API 过滤器的 property 注入

Thinking — Sat, 22 Apr 2023 00:00:00 +0000

GeoServer 的 WFS/WMS GetFeature 请求接受 OGC Filter 参数——但 property name 字段没做任何 SQL escape，攻击者直接往里拼 SQL 子查询就能拿到数据库所有内容。

CVE-2023-24488 QR Code Generator XSS：code-projects.org 项目的 Stored XSS

Thinking — Tue, 21 Feb 2023 00:00:00 +0000

code-projects.org 上的开源 QR Code Generator 在生成 QR Code 预览时，把用户输入直接拼到 href 链接——攻击者写一个 javascript:alert(1) 进去，QR Code 一被扫描就是 XSS。

CVE-2022-48110 CKEditor 5 XSS：data-url 协议的 sanitizer 缝隙

Thinking — Sat, 10 Dec 2022 00:00:00 +0000

CKEditor 5 改用 model + view 双层架构后，XSS 风险本应被消灭——但 sanitizer 在 model→view 反序列化时仍漏掉了 data: 协议头这一类 URL 形态。

CVE-2021-39316 DZS Zoomsounds：未授权任意文件读取

Thinking — Sun, 15 Aug 2021 00:00:00 +0000

DZS Zoomsounds 插件有一个 download 端点，没做权限校验就直接把客户端传的路径读出来——攻击者构造 ../../../wp-config.php 就能读到数据库密码。

CVE-2021-3129 Laravel Ignition RCE：Debug 模式下的 phar 反序列化路径

Thinking — Tue, 02 Feb 2021 00:00:00 +0000

Laravel 的 Ignition 错误页面给了开发者一个「点击修复」按钮——但这个按钮的底层逻辑是 phar 反序列化，攻击者只要能写入一个被 Laravel 当日志的 PHP 文件，就能拿到整个进程的控制权。

CVE-2020-981 CKEditor 4 XSS：富文本编辑器的 sanitizer 边界

Thinking — Tue, 12 May 2020 00:00:00 +0000

CKEditor 4 在 v4.13 之前的 sanitizer 对某些 HTML 标签属性组合存在净化缝隙——攻击者只需构造一条精心设计的 HTML，就能把 Stored XSS 注入到使用 CKEditor 4 的所有应用里。

CVE-2019-15107 Webmin 未授权 RCE:password_change.cgi 命令注入

Thinking — Wed, 28 Aug 2019 00:00:00 +0000

Webmin 的 password_change.cgi 在 passwd_mode=2 条件下未对 old 参数做过滤，攻击者通过 | 把指令塞进 unix_crypt 读取 /etc/shadow 的路径，未授权就能 RCE。

代码审计：Z-BlogPHP 1.5.1 Zero GetShell 漏洞分析

Thinking — Thu, 19 Apr 2018 00:00:00 +0000

代码审计：YXCMS 1.4.6 漏洞集合

Thinking — Thu, 08 Feb 2018 00:00:00 +0000

代码审计：DedeCMS V5.7 SP2 漏洞集合

Thinking — Tue, 23 Jan 2018 00:00:00 +0000

代码审计：Axublog 前台 SQL 注入到后台 GetShell

Thinking — Tue, 02 Jan 2018 00:00:00 +0000

PHPCMS 9.6.2 代码审计：任意文件下载与前台 SQL 注入

Thinking — Tue, 19 Dec 2017 00:00:00 +0000

XXE 学习之路：Step by Step

Thinking — Thu, 07 Dec 2017 00:00:00 +0000

本文是 2017 年对 XXE（XML External Entity Injection）的一次系统性学习梳理。最初是因为 OWASP TOP 10 2017 新增了 XXE 条目（A4:2017-XML External Entities），于是把当时散落在各处的 DTD、实体声明、有回显/无回显利用、XML Schema 拓展攻击等知识点整理成一篇 step-by-step 的笔记。整理时保留了原始 payload 与测试结论，并在关键位置用 note 标注了 2017 年之后的版本演进与现代防护变化，便于对照阅读。

代码审计：多米 DuomiCms 全局过滤规则绕过

Thinking — Tue, 21 Nov 2017 00:00:00 +0000

APPCMS 代码审计：SQL 注入、XSS、CSRF 与 GetShell

Thinking — Fri, 17 Nov 2017 00:00:00 +0000

初探反序列化与 POP CHAIN

Thinking — Tue, 14 Nov 2017 00:00:00 +0000

最近在整理 2017 年写的反序列化与 POP CHAIN 入门文章，当时这是一篇带萌新初探的笔记，重读下来原理部分依然成立，但这几年 PHP 反序列化的攻击面已经扩展了不少——phar 流包装器让反序列化不再局限于 unserialize() 入口、PHP 8 引入了 __serialize/__unserialize 取代 Serializable 接口、phpggc 这类工具把主流框架的 gadget chain 整理成了「即插即用」的弹药库。借着修订的机会，把原文的三个示例保留下来作为入门骨架，再在关键节点用侧边备注补上这些年发生的变化，让这篇 2017 年的小文不至于停在 2017。

文件包含与伪协议小总结（一）

Thinking — Thu, 21 Sep 2017 00:00:00 +0000

本文是 2017 年写的一篇关于 PHP 文件包含漏洞和流包装器（stream wrapper）滥用的总结，最初发在「PHP 进阶学习」板块。原始的测试矩阵和结论在此保留，并在关键处用 note 标注了 PHP 版本变化和现代加固建议，方便对比参照。

涉及的协议包括 file://、php://filter、php://input、zip://、compress.bzip2://、compress.zlib:// 和 data://。后续会再写一篇深入各个包含函数的差异。

Oracle SQL 注入方式小总结

Thinking — Thu, 31 Aug 2017 00:00:00 +0000

最近遇到 Oracle 注入的测试越来越多，而互联网上 Oracle 注入的总结相对少见（MySQL 的资料则铺天盖地）。为了能快速进行漏洞测试和挖掘，便想把之前学习的 Oracle 注入方式温习一遍并整理成文。本文参考了 Oracle 官方文档、互联网上各位前辈的博客以及几本经典 paper，期待和师傅、前辈们讨论交流。文中的 user 值均为 SQLINJECTION。

说明：本文初稿写于 2017 年 8 月，此次归档时对过时的版本与权限说明做了更新，并在关键处用 note 标注。

一道 CTF 题引发的思考：MySQL 的几个特性

Thinking — Fri, 19 May 2017 00:00:00 +0000

CVE-2017-9841 PHPUnit eval-stdin.php 远程代码执行：当 PHP 测试框架成为 Web 入口

Thinking — Mon, 15 May 2017 00:00:00 +0000

PHPUnit 是 PHP 最主流的单元测试框架之一，但它的 eval-stdin.php 文件被设计为『通过 CLI 接受 PHP 代码』的工具——如果这个文件被意外部署到生产环境的 Web 目录下，攻击者通过简单的 POST 请求就能执行任意 PHP 代码，CVSS 9.8，无需认证。