关键漏洞信息 漏洞ID CVE-2025-60954 发现者 Pranav Jayan (https://github.com/progprnv) 测试环境 Live Website: https://microweber.com, 所有截至2025年8月的已部署版本 Microweber CMS GitHub Link: https://github.com/microweber/microweber 影响版本 Microweber: Drag-and-Drop CMS, 当前版本: 2.0 运行在Laravel 10 影响端点 POST /reset-password/ 漏洞类型 弱密码策略执行 描述 Microweber在密码重置过程中不强制执行最小密码长度或复杂性。用户可以设置单个字符的密码。 影响 用户可以设置单个字符的密码 高风险账户接管 妥协所有已部署站点的安全性 可能影响管理员或特权账户 严重性 高/关键 复现步骤 1. 注册一个账户 https://microweber.com/auth/register，登录并注销。 2. 点击“忘记密码” https://microweber.com/auth/forgot-password 3. 查看您的电子邮件并检查密码重置邮件。 4. 跟随重置链接 https://microweber.com/reset-password?token=?email-youremail@example.com 5. 输入一个“单个字符的密码”，例如“7” 6. 提交 - 登录成功使用弱密码 概念验证（PoC） 新密码: "7" 确认密码: "7" 观察: 账户可以立即访问 推荐修复 强制最小密码长度（例如，8个字符） 要求密码复杂性（大写、小写、数字、特殊字符） 在账户创建和重置时服务器端验证密码 CVSS评分（v3.1） 攻击向量（AV）: 网络（N） 攻击复杂度（AC）: 低（L） 所需权限（PR）: 无（N） 用户交互（UI）: 需要（R） 范围（S）: 不变（U） 机密性（C）: 高（H） 完整性（I）: 高（H） 可用性（A）: 低（L） CVSS 7.8（高） 截图PoC GIST SOURCE LINK FOR PoC