一、 漏洞 CVE-2025-10020 基础信息
漏洞信息
# 命令注入漏洞
## 概述
Zohocorp ManageEngine ADManager Plus 在版本 8024 之前存在一个经过身份验证的命令注入漏洞，位于其“Custom Script”组件中。
## 影响版本
- ADManager Plus < 8024
## 细节
攻击者可在身份验证的前提下，通过“Custom Script”功能注入并执行任意系统命令。
## 影响
成功利用此漏洞可能导致远程代码执行（RCE），从而完全控制受影响系统。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Command Injection
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Zohocorp ManageEngine ADManager Plus version before 8024 are vulnerable to authenticated command injection vulnerability in the Custom Script component.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
在命令中使用的特殊元素转义处理不恰当(命令注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
ZOHO ManageEngine ADManager Plus 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
ZOHO ManageEngine ADManager Plus是美国卓豪（ZOHO）公司的一套为使用Windows域的企业用户设计的微软活动目录管理软件。该软件能够协助AD管理员和帮助台技术人员进行日常管理工作，例如批量管理用户帐户和AD对象、给帮助台技术员指派基于角色的访问权限等。 ZOHO ManageEngine ADManager Plus 8024之前版本存在安全漏洞，该漏洞源于Custom Script组件存在身份验证后的命令注入漏洞。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-10020 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-10020 的情报信息
-
标题： Authenticated command injection via Custom Functions and Environment Variables - ManageEngine ADManager Plus -- 🔗来源链接
标签：
神龙速读
- https://nvd.nist.gov/vuln/detail/CVE-2025-10020
四、漏洞 CVE-2025-10020 的评论
暂无评论