mojoPortal 漏洞列表

mojoPortal imagehandler存在任意文件读取漏洞，攻击者可构造恶意请求获取系统主机敏感信息。

mojoPortal 2.7.0.0 contains a cross-site scripting vulnerability in the FileDialog.aspx component, which can allow an attacker to execute arbitrary web scripts or HTML via a crafted payload injected into the ed and tbi parameters.

Cross Site Scripting vulnerability in mojoPortal v.2.7.0.0 allows a remote attacker to execute arbitrary code via the helpkey parameter in the Help.aspx component.

mojoPortal <=2.9.0.1 is vulnerable to Directory Traversal via BetterImageGallery API Controller - ImageHandler Action. An attacker can exploit this vulnerability to access the Web.Config file and obtain the MachineKey.

MojoPortal 是一个可扩展、跨数据库、移动友好的 web 内容管理系统（CMS）和 web 应用程序框架。MojoPortal CMS 的 /api/BetterImageGallery/imagehandler 接口存在文件读取漏洞（CVE-2025-28367）。在版本 &lt;=2.9.0.1 中，该漏洞可能导致 ViewState 反序列化问题，未经身份验证的攻击者可以利用此漏洞泄露 Web 根目录中的敏感文件，包括 Web.config 文件。

mojoPortalv2.7.0.0的FileDialog.aspx组件中反映的跨站点脚本（XSS）漏洞允许攻击者通过注入ed和tbi参数的特制负载执行任意web脚本或HTML。