MetInfo CMS <= 8.1 PHP代码注入漏洞 漏洞概述 CVE编号: CVE-2026-29014 漏洞类型: PHP代码注入 / 远程代码执行 (RCE) 漏洞文件: 发现者: Egidio Romano 漏洞原理: 方法中， 和 XML标签传入的用户输入未正确过滤。 参数存在路径遍历漏洞，可通过 加载任意PHP文件，将 变量设置为"Array"字符串。随后 方法将 参数写入 文件，利用PHP复杂花括号语法 实现代码注入。 关键代码片段: 影响范围 受影响版本: 7.9, 8.0, 8.1 利用条件: - 非Windows服务器需存在 目录（安装配置官方微信插件时创建） - 无需认证，远程攻击者可利用 修复方案 当前状态: 暂无官方修复方案 披露时间线 POC链接 https://karmainsecurity.com/pocs/CVE-2026-29014.php