关键漏洞信息 漏洞概述 CVE编号: CVE-2025-29093 漏洞类型: 任意文件上传 受影响产品: Motivian Content Management System v41.0.0 影响组件: Content/Gallery/Images 攻击向量: 远程 严重性: 中等 CVSSv3评分: 6.5 CVSSv3向量: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N 描述 Motivian Content Management System v41.0.0 存在一个文件上传漏洞，允许远程攻击者通过精心构造的扩展名（如 .php、.jsp、.jspx）上传恶意文件，利用 Content/Gallery/Images 组件。 利用概念证明 漏洞可以通过上传具有各种扩展名的文件来利用。示例中使用了两个概念验证案例：一个包含恶意代码的 .php 文件和另一个 .net 文件，通过 EICAR 测试字符串和 IISLOGS 日志文件进行演示。 缓解措施 不允许用户上传任意文件。 实施严格的 MIME 类型和内容检查。 随机化文件名。 限制上传目录。 披露时间线 发现者 Francesco Marcuccio - CyberSecurity Consultant, Penetration Tester