Visitor Management System 1.0 曝 SQLi 至 RCE 利用链

安全研究者 xmyronn 在 Sploitus 公开了 code-projects.org Visitor Management System 1.0 的完整利用链，将 SQL 注入与无限制文件上传串联，可从低权限账号一路达到远程代码执行，CVSS 评分 9.8。 据该公开内容，攻击者先以 guard 账号登录，通过 pass.php 的 phone POST 参数注入，导出数据库中的明文管理员凭据，无需破解；随后借 admin_user_0.php 上传 PHP webshell 执行代码。该应用不做文件类型、扩展名或 MIME 类型校验。 上述攻击效果来自公开的 PoC 与步骤描述，尚未见厂商修复或独立验证的说明。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。