【新安全事件】vBulletin 远程代码执行漏洞(CVE-2025-48827)安全风险通告

奇安信 CERT 2025-06-04 10:53

●
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	vBulletin 远程代码执行漏洞
漏洞编号	QVD-2025-21254,CVE-2025-48827
公开时间	2025-05-27	影响量级	万级
奇安信评级	高危	CVSS 3.1分数	10.0
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	已发现
EXP状态	已公开	技术细节状态	已公开
危害描述：攻击者可以利用此漏洞执行远程代码，获取敏感信息，篡改网站内容，甚至完全控制受影响的系统。

漏洞详情

>
>
>
>

影响组件

vBulletin是一款功能强大的开源论坛软件，它支持多种数据库，如MySQL、PostgreSQL等。它提供了灵活的权限管理系统，让管理员可以精细控制不同用户组和用户的访问权限和功能使用，适用于各种规模的在线社区。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到
vBulletin 远程代码执行漏洞(CVE-2025-48827)存在在野利用，攻击者可以利用这个漏洞调用受保护的API控制器执行未授权的操作，从而执行任意代码。目前该漏洞已发现在野利用。
鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

影响范围

>
>
>
>

影响版本

5.0.0 <= vBulletin < 5.7.6

6.0.0 <= vBulletin < 6.0.4

>
>
>
>

其他受影响组件

无

复现情况

目前，奇安信威胁情报中心安全研究员已成功复现
vBulletin 远程代码执行漏洞(CVE-2025-48827)****
，截图如下：

处置建议

>
>
>
>

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：
vBulletin 5.7.6

vBulletin 6.0.4

官方补丁下载地址：

https://www.vbulletin.com/

参考资料

[1]
https://karmainsecurity.com/dont-call-that-protected-method-vbulletin-rce

[2]
https://blog.kevintel.com/vbulletin-replaceadtemplate-kev/

[3]
https://nvd.nist.gov/vuln/detail/CVE-2025-48827

时间线

2025年6月4日，奇安信 CERT发布安全风险通告。

漏洞情报服务

奇安信ALPH
A
威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于
第一时间为企业级用户提供权威
漏洞情报和有效
解决方案。

点击↓阅读原文
，到ALPHA威胁分析平台
订阅更多漏洞信息。

近期文章