[CVE-2025-32461] Tiki Wiki CMS Groupware <=28.3版本的两个SSTI漏洞
安全研究人员在Tiki Wiki CMS Groupware内容管理系统28.3及更早版本中发现了两处严重的服务器端模板注入(Server-Side Template Injection)漏洞。这些漏洞存在于系统的模板处理组件中，未经认证的攻击者可能通过精心构造的恶意输入实现远程代码执行。
技术细节显示，第一个漏洞(CVE-2025-32461-1)影响Smarty模板引擎的特定过滤逻辑，而第二个漏洞(CVE-2025-32461-2)则涉及系统对用户提供数据的处理方式。当攻击者向特定端点提交特制payload时，系统会错误地将其解析为可执行代码。
研究人员已在karmainsecurity.com发布完整的技术分析报告，包括：
- 漏洞触发条件的具体调用栈分析
- 受影响版本的完整列表
- 概念验证(PoC)利用代码片段
- 临时缓解措施建议
目前Tiki Wiki开发团队尚未发布官方补丁。建议所有使用受影响版本的用户立即采取以下措施：
- 禁用不必要的模板编辑功能
- 对用户输入实施更严格的过滤
- 监控服务器日志中的可疑模板解析行为
该漏洞的CVSSv3评分为9.8(严重级别)，特别需要注意的是，利用这些漏洞不需要任何先验认证。安全社区正在密切关注该漏洞的进一步发展和官方修复进度。