一、 漏洞 CVE-2025-46099 基础信息
漏洞信息
# N/A
### 概述
在 Pluck CMS 4.7.20-dev 版本中，存在一个任意命令执行漏洞，允许经过身份验证的攻击者通过 `albums` 模块上传或创建恶意 PHP 文件，并通过模块路由逻辑触发执行。
### 影响版本
- **4.7.20-dev**（目前未标明是否影响其他版本）
### 细节
- 攻击者可以利用 `albums` 模块上传或直接创建一个特制的 PHP 文件。
- 通过访问 `albums.site.php` 中的路由逻辑，攻击者可触发该 PHP 文件的执行。
- 漏洞通过一个 GET 参数实现远程代码执行。
### 影响
- 可导致攻击者在服务器上**任意命令执行**，可能完全控制网站或服务器。
- 漏洞需**身份验证**，只有拥有有效账户的攻击者可发起攻击。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
In Pluck CMS 4.7.20-dev, an authenticated attacker can upload or create a crafted PHP file under the albums module directory and access it via the module routing logic in albums.site.php, resulting in arbitrary command execution through a GET parameter.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Pluck CMS 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Pluck CMS是Plunk CMS开源的一个内容管理系统。 Pluck CMS 4.7.20-dev版本存在安全漏洞，该漏洞源于albums模块路由逻辑缺陷，可能导致任意命令执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-46099 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | CVE-2025-46099 | https://github.com/0xC4J/CVE-Lists | POC详情 |
三、漏洞 CVE-2025-46099 的情报信息
四、漏洞 CVE-2025-46099 的评论
暂无评论