关键信息 漏洞编号 CVE-2025-44071 影响文件 SeaCMS/Upload/admin/ebak/phponebak.php 漏洞描述 在 函数中，传递的参数被写入到 文件中，变量 的值来自 POST 请求中的 参数。该值直接写入 文件，没有任何过滤或验证。 漏洞利用过程 1. 构造请求：发送一个请求创建指定目录（test）下的 文件，并写入恶意代码。 2. 访问生成的文件：访问生成的 文件，系统命令成功执行。 示例代码片段 验证 通过发送特定的 POST 请求，可以在目标服务器上创建并访问包含恶意代码的 文件，从而执行系统命令。 结论 此漏洞允许攻击者通过未过滤的输入在服务器上写入和执行任意代码，导致远程代码执行。