wuzhicms<=4.1.0后台RCE（0day）

声明：本文仅用于网络安全相关知识分享，环境为本机靶场，请严格遵守网络安全相关法律法规。

未经授权利用本文相关技术从事违法活动的，一切后果由违法人自行承担！Jie安全公众号及作者不承担任何法律责任。

该漏洞已于2024-10-21提交至CVE，并于2024-10-30获得CVE编号(CVE-2024-10505)

代码分析：

www/coreframe/app/content/admin/block.php文件中的add方法将输入的template_code分配给$code

blockid是创建后数据的 ID，如果createhtml值不为0就会调用html方法

HTML会根据传递的blockid从数据库中提取code值，并写入对应的blockid编号文件中。它还执行了文件包含操作，并将结果写入相应的blockid编号HTML文件中。

漏洞验证：
点击发布内容中的推荐位管理，点击添加推荐位，选择类型，随便填写名称，比如 test。填写模板内容的 PHP 代码，并选中生成html页面选项。

然后返回列表，可以看到新添加的内容ID是46，对应HTML文件/web/46.html

打开：http://192.168.0.106/webs/46.html

RCE

值得一提的是，edit方法也是调用html造成RCE的问题，我也提交了，不过CVE认为和add方法重复，所以合并了。

原文始发于微信公众号（Jie安全）：wuzhicms<=4.1.0后台RCE（0day）