10秒后自動關(guān)閉
PbootCMS最新代碼注入漏洞（CNVD-2025-01710、CVE-2024-12789）

PbootCMS是一套高效、簡潔、 強悍的可免費商用的CMS源碼，使用PHP+MySQL開發(fā)，能夠滿足各類企業(yè)網(wǎng)站開發(fā)建設(shè)的需要。


國家信息安全漏洞共享平臺于2025-01-14公布該程序存在代碼注入漏洞。

漏洞編號：CNVD-2025-01710、CVE-2024-12789

影響產(chǎn)品：PbootCMS <3.2.4

漏洞級別：中

公布時間：2025-01-14

漏洞描述：PbootCMS 3.2.3及之前版本存在該代碼注入漏洞，該漏洞源于 apps/home/controller/IndexController.php 頁面的tag參數(shù)未能正確過濾構(gòu)造代碼段的特殊元素。攻擊者可利用該漏洞執(zhí)行任意代碼。


解決辦法：

目前廠商尚未發(fā)布修復(fù)補丁�？梢允褂谩�護衛(wèi)神·防入侵系統(tǒng)』的“SQL注入防護”模塊來解決該注入漏洞，不止對該漏洞有效，對網(wǎng)站所有的SQL注入漏洞和跨腳本漏洞都可以防護。



1、SQL注入防護和XSS跨站攻擊防護

『護衛(wèi)神·防入侵系統(tǒng)』自帶的SQL注入防護模塊（如圖一）除了攔截SQL注入，還可以攔截XSS跨站腳本（如圖二），一并解決PbootCMS的其他安全漏洞，攔截效果如圖三。


SQL注入防護模塊

（圖一：SQL注入防護模塊）



xss攻擊防護

（圖二：XSS跨站腳本攻擊防護）



SQL注入攔截效果

（圖三：SQL注入攔截效果）



2、防篡改保護和后臺保護

如果對安全要求較高，還可以使用『護衛(wèi)神·防入侵系統(tǒng)』系統(tǒng)的“篡改防護”模塊，對PbootCMS做防篡改保護。

在“篡改防護-添加CMS防護”（如圖四）。選擇網(wǎng)站目錄，安全模板選擇“PbootCMS安全模板”，并填寫正確的后臺地址，點擊“確定”按鈕，就添加好了。

護衛(wèi)神.防入侵系統(tǒng)內(nèi)置有PbootCMS的篡改防護規(guī)則，只需簡單設(shè)置即可解決，非常方便！

添加PbootCMS防篡改規(guī)則

（圖四：添加PbootCMS防篡改規(guī)則）



設(shè)置好以后，防入侵系統(tǒng)就會對后臺進行保護，后期訪問時需要先驗證授權(quán)密碼（如圖五），只有輸入了正確的密碼才能訪問。

網(wǎng)站后臺保護

（圖五：訪問后臺需要輸入授權(quán)密碼）