CVE-2025-70364 describes a Remote Code Execution (RCE) vulnerability discovered in Kiamo photo management software versions before 8.4. This vulnerability allows authenticated administrative users to execute arbitrary PHP code on the server, potentially leading to complete system compromise. While the vendor considers this a historical feature, restrictions on PHP functions were added in version 8.4 to address the risk. Upgrade to version 8.4 is recommended.
影响与攻击场景
CVE-2025-70364 影响 Kiamo 8.4 之前的版本，允许经过身份验证的管理员攻击者在服务器上执行任意 PHP 代码。虽然供应商声称这是一种“产品的历史性和预期的管理功能，仅限已通过身份验证并明确授予管理员权限的用户访问”，但直到 8.4 版本，漏洞仍然存在。任意代码执行可能允许攻击者完全控制 Kiamo 服务器，从而破坏敏感数据、修改配置，或将服务器用作攻击其他系统的跳板。此问题的严重性在于未经授权的访问和系统控制的可能性，因此需要立即更新。
利用背景
此漏洞要求攻击者在 Kiamo 系统上以管理员身份进行身份验证。供应商表示此功能是预期的，但 8.4 之前的版本中缺乏足够的限制允许执行任意代码。具有管理员访问权限的攻击者可以通过管理界面或通过操纵配置文件来注入恶意 PHP 代码。利用成功可能导致服务器完全被接管，从而允许攻击者访问机密数据、修改系统配置或发起对其他系统的攻击。
威胁情报
漏洞利用状态
EPSS
0.05% (17% 百分位)
受影响的软件
时间线
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
针对 CVE-2025-70364 的主要缓解措施是将 Kiamo 更新到 8.4 或更高版本。此版本包含对某些 PHP 函数的限制，从而大大降低了任意代码执行的风险。此外，建议审查和加强访问控制策略，以确保只有授权用户才具有管理员权限。定期审计服务器日志以查找可疑活动也有助于检测和响应潜在的利用尝试。实施防火墙和入侵检测系统可以提供额外的安全层。
修复方法翻译中…
Actualice Kiamo a la versión 8.4 o superior para mitigar la vulnerabilidad. Esta versión introduce restricciones en algunas funciones PHP, limitando la capacidad de los atacantes para ejecutar código arbitrario.
常见问题
CVE-2025-70364 是什么 — Kiamo 中的漏洞？
这意味着攻击者可以在服务器上执行他们选择的任何 PHP 代码，从而获得对系统的显著控制。
Kiamo 中的 CVE-2025-70364 是否会影响我？
是的，更新对于降低风险至关重要，即使具有受限的权限，因为漏洞在于 PHP 代码的处理方式。
如何修复 Kiamo 中的 CVE-2025-70364？
在更新之前，请严格限制管理员访问并监控服务器日志以查找可疑活动。
CVE-2025-70364 是否正在被积极利用？
实施防火墙、入侵检测系统，并定期审查访问控制策略。
在哪里可以找到 Kiamo 关于 CVE-2025-70364 的官方安全通告？
请参阅 Kiamo 官方文档或供应商网站，以获取有关如何升级到 8.4 或更高版本的详细说明。
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...