MCMS 漏洞列表

MCMS v5.2.5存在SQL注入漏洞，攻击者可以通过IContentDao.xml文件中的categoryId参数进行注入。

MCMS 5.2.4 contains a SQL injection vulnerability via search.do in the file /mdiy/dict/listExcludeApp. An attacker can possibly obtain sensitive information, modify data, and/or execute unauthorized administrative operations in the context of the affected site. FOFA: icon_hash="1464851260" SHODAN: http.favicon.hash:1464851260

SEMCMS是一款基于PHP和MySQL的开源内容管理系统，广泛应用于企业网站建设和电子商务平台。SEMCMS的/index.php页面存在SQL注入漏洞，攻击者可以通过构造恶意的SQL语句，未经授权地访问、修改或删除数据库中的敏感数据，可能导致数据泄露或系统被破坏。

In YzmCMS 3.6, index.php has XSS via the a, c, or m parameter.

IncomCMS 2.0 has a an insecure file upload vulnerability in modules/uploader/showcase/script.php. This allows unauthenticated attackers to upload files into the server.

MCMS 5.2.5 contains a SQL injection vulnerability via the categoryId parameter in the file IContentDao.xml. An attacker can potentially obtain sensitive information, modify data, and/or execute unauthorized administrative operations in the context of the affected site.

MCMS 5.2.4 contains a SQL injection vulnerability via search.do in the file /mdiy/dict/listExcludeApp. An attacker can possibly obtain sensitive information, modify data, and/or execute unauthorized administrative operations in the context of the affected site.

Mingsoft MCMS v5.2.7 contains an SQL injection vulnerability via /cms/content/list that allows unauthenticated attackers to execute arbitrary SQL commands on the affected database server.

SQL injection vulnerability in Mingsoft MCMS up to 5.2.9 via the sqlWhere parameter in /cms/category/list.

A vulnerability classified as problematic has been found in Mingsoft MCMS up to 5.3.1. This affects an unknown part of the file search.do of the component HTTP POST Request Handler. The manipulation of the argument style leads to cross site scripting. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. It is recommended to apply a patch to fix this issue. The associated identifier of this vulnerability is VDB-235611.

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

MingSoft MCMS是中国铭飞（MingSoft）公司的一个完整开源的 J2ee 系统。Mingsoft MCMSUeditor组件任意文件上传漏洞，该漏洞源于该接口能够构造任意后缀名并且通过{../}绕过目录穿越限制从而实现任意文件上传，攻击者能够利用该漏洞上传jsp文件或者htm模版文件来实现任意代码执行。

铭飞MCms存在远程代码执行漏洞，此漏洞是对用户输入editor.do接口的数据缺乏校验导致的。

YzmCMS是一款基于YZMPHP开发的一套轻量级开源内容管理系统,YzmCMS简洁、安全、开源、免费,可运行在Linux、Windows、MacOSX、Solaris等各种平台上,专注为公司企业、个人站长快速建站提供解决方案。YzmCMS /pay/index/pay_callback.html接口存在远程命令执行漏洞，攻击者可通过该漏洞在服务器端任意执行代码，写入后门，获取服务器权限，进而控制整个web服务器。

铭飞MCms中存在SQL注入漏洞，此漏洞是由于search.do未充分验证用户输入的数据所导致的。

YzmCMS pay_callback.html代码执行漏洞

铭飞-MCMS search.do SQL注入漏洞

YzmCMS存在远程命令执行漏洞，此漏洞是由于对用户输入 pay_callback.html 的数据缺乏校验导致的。

YzmCMS是一款基于YZMPHP开发的一套轻量级开源内容管理系统,YzmCMS简洁、安全、开源、免费,可运行在Linux、Windows.MacOSX、Solaris等各种平台上,专注为公司企业、个人站长快速建站提供解决方案。yzmcmspay_callback命令执行漏洞，未经身份验证的远程攻击者可利用此漏洞执行任意系统指令

MCMS 存在任意文件上传漏洞，此漏洞是缺乏校验导致的。

铭飞MCMS在/cms/category/list下存在sql注入漏洞，攻击者可利用该漏洞获取数据库敏感信息

铭飞MCMS<=5.2.8 /ms/login.do处由于使用了默认shirokey存在代码执行漏洞，攻击者可通过该漏洞获取服务器权限。

SEMCMS是一套开源外贸企业网站管理系统，主要用于外贸企业，兼容IE、Firefox等主流浏览器。SEMCMS search.php文件存在 SQL注入漏洞，攻击者可通过SQL注入可获取敏感信息甚至获取到服务器权限。

铭飞MCMS/mcms/search.do参数存在SQL 延时注入漏洞，攻击者可通过该漏洞获取数据库权限。

铭飞MCMS/mdiy/dict/listExcludeApp.do参数存在SQL注入漏洞，攻击者可通过该漏洞获取数据库权限。

铭飞MCMS<=5.2.7 (最新版)/cms/content/list处categoryId参数存在SQL注入漏洞，攻击者可通过该漏洞获取数据库权限。

MCMS是一个网站架构系统，攻击者可以利用SQL注入获取敏感信息

【漏洞对象】WMCMS 【涉及版本】V4.250.513 【漏洞描述】 该系统存在任意文件上传漏洞，可以上传恶意文件到服务器，获取服务器权限。

【漏洞对象】WMCMS 【涉及版本】V4.250.513 【漏洞描述】WMCMS开源小说系统V4.250.513版本前台存在sql注入，可造成信息数据泄露，攻击者可利用该漏洞执行SQL指令，甚至入侵服务器。

【漏洞对象】WMCMS 【涉及版本】V4.245.499版本 【漏洞描述】WMCMS开源小说系统V4.245.499版本前台存在sql注入，可造成信息数据泄露，攻击者可利用该漏洞执行SQL指令，甚至入侵服务器。

【漏洞对象】WMCMS 【涉及版本】V4.245.499 【漏洞描述】WMCMS开源小说系统V4.245.499版本前台存在sql注入，可造成信息数据泄露，攻击者可利用该漏洞执行SQL指令，甚至入侵服务器。

【漏洞对象】FSMCMS 【漏洞描述】 该系统存在任意文件写入漏洞。

【漏洞对象】FSMCMS系统 【漏洞描述】 该系统columninfo.jsp页面存在SQL注入漏洞。

【漏洞对象】WMCMS 【涉及版本】WMCMS V4.245.499 【漏洞描述】WMCMS开源小说系统最新版V4.245.499版本前台sql注入，可能造成数据泄漏，甚至服务器被入侵。

WMCMS开源小说系统最新版V4.245.499版本前台sql注入，可能造成数据泄漏，甚至服务器被入侵。

【漏洞对象】WMCMS 【涉及版本】WMCMS V4.245.499 【漏洞描述】WMCMS开源小说系统V4.245.499版本前台文件读取，泄露源码、数据库配置文件等等，导致网站处于极度不安全状态。