Craft CMS CVE-2025-32432 exp发布

正文

请到「今天看啥」查看全文

CERT Orange Cyberdefense 的调查显示，攻击者利用 Craft CMS 中的两个零日 漏洞 链来入侵服务器并窃取数据，目前正在持续 利用 。

攻击分两个阶段进行：

• CVE-2025-32432 – Craft CMS 中的远程代码执行： 攻击者发送一个包含“return URL”参数的特制 HTTP 请求，该参数被不正确地保存到 PHP 会话文件中。然后，会话名称在 HTTP 响应中返回。
• CVE-2024-58136 – Yii 框架输入验证缺陷： 发送恶意 JSON 负载，利用输入验证缺陷触发 PHP 代码从精心设计的会话文件执行。

这种巧妙的漏洞链使攻击者能够在受感染的服务器上安装基于 PHP 的文件管理器，从而授予他们对系统的完全控制权。

请到「今天看啥」查看全文