漏洞概述 漏洞名称: Authenticated Remote Code Execution via OS Command Injection in find-in-config Endpoint 漏洞描述: 在 Roxy-WI 的 端点中，未对用户提供的 参数进行充分验证，导致攻击者可以通过注入任意 shell 元字符来执行任意命令。该漏洞允许攻击者在目标服务器上以 root 权限执行任意命令，从而实现远程代码执行（RCE）。 受影响版本: 版本 <= v8.2.6.3 修复版本: 无 CVE ID: CVE-2020-33208 影响范围 影响级别: 高 影响描述: 攻击者可以利用此漏洞在 Roxy-WI 管理的每台服务器上获得完全的控制权。由于命令以 sudo 权限执行，攻击者可以立即提升为 root 权限，窃取数据、部署后门、渗透到内部网络段，并破坏所有负载均衡和代理服务。 修复方案 当前状态: 无修复方案 POC 代码 服务器执行的命令: 预期响应（部分）: 反向 shell 载荷: 监听器上的命令: 接收到的 root shell: