vBulletin远程代码执行漏洞复现（CVE-2025-48827）附POC

发布于2025年5月30日2025年7月19日作者:cve-20

vBulletin远程代码执行漏洞复现（CVE-2025-48827）附POC

原创 a1batr0ss 天翁安全 2025-05-30 10:00

免责声明：
本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方书面授权，严禁将公众号内的任何内容用于未经授权的渗透测试、漏洞利用或攻击行为。所有人仅可在自己合法拥有或管理的系统环境中进行本地漏洞复现与安全测试，或用于具有明确授权的合法渗透测试项目。所有人不得以任何形式利用公众号内提供的内容从事非法、侵权或其他不当活动。如因违反上述规定或不当使用本公众号提供的任何内容，造成的一切法律责任、经济损失、纠纷及其他任何形式的不利后果，均由相关成员自行承担，与本公众号无任何关联。

漏洞介绍

vBulletin 是一个用于创建和管理在线讨论论坛的互联网论坛软件，广泛应用于构建和托管在线社区，使用户能够参与结构化、可搜索的讨论。它专为中大型网站设计，提供了私信、举报以及 SEO 管理等功能。

vBulletin 版本 5.0.0 至 5.7.5 以及 6.0.0 至 6.0.3 在运行于 PHP 8.1 或更高版本时，允许未经身份验证的用户调用受保护的 API 控制器方法。攻击者可通过类似 /api.php?method=protectedMethod
的请求路径绕过限制。该漏洞已在 2025 年 5 月被实际利用。若被成功利用，攻击者无需身份验证即可远程执行任意代码，可能导致关键数据丢失以及整个系统被完全攻陷。

目前，通过 Fofa 搜索，公开可访问的 vBulletin 目标超过 26,000 个。

漏洞版本

vBulletin 5.0.0 – 5.7.5
vBulletin 6.0.0 – 6.0.3
PHP 版本等于或高于8.1

漏洞利用

这里我参考了网上主流的命令执行方法：先POST请求 /ajax/api/ad/replaceAdTemplate
接口，再POST请求 /ajax/render/ad_xxx
接口，但都没有成功。但尝试了如下POC成功执行了命令了。

该漏洞可执行任意命令，这里使用 cat/etc/passwd
命令读取到目标 /etc/passwd
文件

批量检测脚本

漏洞修复

官方已推出相关补丁：https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4491049-security-patch-released-for-vbulletin-6-x-and-5-7-5?ref=blog.kevintel.com