craftcms-vcard-exploit

Craft CMS vCard 插件反序列化漏洞 Craft CMS 有一个使用 .vcf 文件格式下载联系人的插件，名为 "vCard"。该插件可以在 Craft 的仓库和 Github 上查看： Craft Plugin Store Github 描述 该插件接收客户端发送的一个参数，用 openssldecrypt 解密该值，然后将得到的字符串放入 PHP 的 unserialize 函数。由于加密的默认 salt 在仓库中可见，攻击者可以使用相同的逻辑来加密恶意序列化载荷。 如果用户在插件设置中配置了修改过的 "salt" 值，则需要将其作为参数提供给 Python...