关键信息 信息 软件类型: Web App 软件名称: Vvweb 受影响版本: 1.0.5 软件供应商: Vvweb 软件链接: https://github.com/givanz/Vvweb 严重性: Critical CVSS分数: 9.1 CVE链接: Pending 受影响资产: 163+ 发现日期: 2025年1月3日 PoC利用: https://gist.github.com/OxHamy/f16fb399f8dd3a973acadc18fa07b1cb 描述 管理员可以访问修改插件代码并运行，没有任何验证机制来防止恶意代码执行。认证的管理员可以通过以下端点修改插件： 。 通过此端点，可以修改PHP文件（theme.php）以获得Web服务器的shell访问权限。 复现步骤 1. 打开以下端点： 2. 查找并编辑theme.php，替换其代码为以下内容： 3. 使用Netcat等监听器替换IP和端口。 4. 保存PHP文件并通过打开以下页面运行它： 5. 监听Netcat监听器，将获得反向shell连接。 单独来看，此漏洞可能不会产生任何影响，但与管理面板上的密码暴力破解和XSS结合使用时，会导致cookie窃取，从而导致完全被攻陷。 概念验证（PoC）视频 提供了概念验证视频，展示漏洞利用过程。